城堡中的毒蛇：深入解析基于Python的CastleLoader恶意软件加载器

本文深入剖析了CastleLoader恶意软件加载器家族，该家族主要利用名为ClickFix的社会工程学技术进行投递。文章详细介绍了其Python驱动特性、利用Windows运行对话框的攻击向量、相关的MITRE ATT&CK技术、潜在的破坏影响以及针对欧洲组织的具体缓解建议，并提供了详细的入侵指标。

Snakes in the Castle: Inside the Walls of Python-Driven CastleLoader Delivery

严重性：中等 类型：恶意软件

CastleLoader 是一个恶意软件加载器家族，主要通过一种被称为 ClickFix 的社会工程学技术进行投递。该技术诱骗用户通过 Windows“运行”对话框执行命令，伪装成所谓的“人工验证”步骤。此方法已被广泛用于部署各种恶意软件类型，包括信息窃取程序和远程访问木马。CastleLoader 由 Python 驱动，并利用这种用户交互来执行恶意负载。入侵指标包括恶意文件的哈希值，以及托管在与俄罗斯相关的域名和 IP 地址上的命令与控制基础设施。尽管目前野外尚无已知的漏洞利用活动，但该投递技术对社会工程学和用户操作的依赖使其成为一种持续的中等威胁。严重性被评估为中等，原因是需要用户交互以及存在数据盗窃或未经授权访问的潜在风险。欧洲组织应保持警惕，特别是那些用户容易受到社会工程学攻击或缺乏强大端点控制的组织。

技术摘要

被称为 CastleLoader 的威胁是一个恶意软件加载器家族，越来越多地通过一种名为 ClickFix 的社会工程学技术进行投递。该技术涉及说服用户按下 Win + R 打开 Windows“运行”对话框，并在看似无害的“人工验证”或类似提示的幌子下输入命令。攻击者利用这种用户驱动的执行向量来部署各种恶意软件负载，包括信息窃取程序和远程访问木马。CastleLoader 本身是 Python 驱动的，这表明它使用 Python 脚本或解释器来促进其加载和执行过程，这可能会增加其灵活性和规避能力。Blackpoint SOC 最近遇到了一起涉及此投递方法的事件，突显了其在活跃攻击活动中的持续使用。入侵指标包括特定的文件哈希和网络基础设施，例如 IP 地址 78.153.155.131（与俄罗斯 ASN 关联）和托管恶意负载的域名（如 dperforms.info）。该攻击利用了 MITRE ATT&CK 技术，如 T1059.006（命令与脚本解释器：Windows 命令外壳）、T1181（利用进行防御规避）和 T1573（加密通道），表明了复杂的规避和通信方法。尽管目前野外没有报告已知的漏洞利用，但对社会工程学和用户交互的依赖意味着该威胁作为一个有效的投递向量持续存在。中等严重性评级反映了潜在影响与发起感染所需的用户操作之间的平衡。

潜在影响

对于欧洲组织而言，CastleLoader 威胁带来的风险主要在于成功的社会工程学攻击导致恶意软件执行。如果部署成功，CastleLoader 可以促进信息窃取程序或远程访问木马的安装，可能危及敏感数据的机密性并实现未经授权的远程访问。这可能导致数据泄露、间谍活动或在网络内部横向移动。使用 Python 脚本可能允许攻击者快速调整负载，使检测和响应工作复杂化。该威胁对于拥有高价值数据或关键基础设施的部门尤其令人担忧，因为攻击者可能利用访问权限进行间谍活动或破坏活动。用户交互的要求降低了大规模自动化感染的可能性，但并未消除风险，特别是在用户培训不足或端点保护不足的环境中。与俄罗斯相关的命令与控制基础设施的存在也可能引起地缘政治担忧，可能针对涉及对东欧网络行动敏感的部门的组织。总体而言，影响包括数据机密性、完整性和可用性的潜在损失，由于依赖社会工程学，利用难度中等。

缓解建议

为缓解 CastleLoader 威胁，欧洲组织应实施针对性的用户意识培训，重点介绍 ClickFix 等社会工程学技术的危险性，强调通过“运行”对话框执行未经请求的命令的风险。应配置端点检测与响应解决方案，以监控并警报 Windows“运行”对话框的可疑使用以及异常的 Python 脚本执行。网络防御应阻止或密切监控对已知恶意域名和 IP 地址（如 dperforms.info 和 78.153.155.131）的流量。应用程序白名单可以防止未经授权的未知脚本或二进制文件执行。多因素身份验证和严格的权限管理可降低潜在远程访问木马部署的影响。事件响应计划应包括对涉及 CastleLoader 的感染进行快速遏制和取证分析的程序。应定期获取威胁情报更新，以了解不断变化的入侵指标和战术。最后，在可行的情况下，为非管理用户禁用或限制 Windows“运行”对话框的使用可以减少攻击面。

受影响国家

德国、法国、英国、意大利、西班牙、荷兰、波兰

入侵指标

  • 哈希值:
    • 0f5c3ac4b4f997acd2cd71c451082cd8fbd1cbdb1a6db2bdf470714f2e7ef4bb
    • 8a539355d317bd8a490f470319410e5d2a2851a38828c900f357fbac9083583c
    • bfea06a7ef5b25b40178cfffd802d8ab4f5ee35ca5cd8d2b9ff29b4e201b3b7f
  • IP 地址: 78.153.155.131
  • URL:
  • 域名: dperforms.info

来源: AlienVault OTX General 发布时间: 2025年12月15日，星期一

comments powered by Disqus
© 2020 - 2026 qife
使用 Hugo 构建
主题 Stack 由 Jimmy 设计
本站总访问量次 本站访客数人次