CastleLoaderマルウェアのエコシステムに大きな進化が見られ、新たなキャンペーンでは暗号資産ウォレットのシードフレーズを窃取し、ブラウザセッションを乗っ取るNeedleStealerフレームワークが展開されています。
今回の調査結果は、HuntressとLevelBlueによる以前の研究を発展させたもので、CastleLoaderが依然として多段階侵入の中心的な配布手段であり続けていることを裏付けると同時に、RustおよびGolangで書かれた新たなツールの投入を明らかにしています。
CastleLoaderは、これまでCastleStealer（.NET製情報窃取マルウェア）、PythonRAT、NetSupport RATといったペイロードとの関連が指摘されてきましたが、引き続きモジュール式のシェルコードローダーとして機能しています。
HuntressとLevelBlueによる以前の報告では、ClickFix型の感染チェームや求人プラットフォームを装ったキャンペーンにおける役割が明らかにされていました。
しかし、Arctic Wolfによる最新の調査では、脅威アクターがCastleStealer専用の認証情報・暗号資産窃取ツールキットであるNeedleStealerを統合することで、このフレームワークの機能を大幅に強化していることが判明しました。
NetworkSecurity
最も注目すべき進展は、CastleLoaderが2種類の異なるNeedleStealerペイロードを配布するNoidretキャンペーンです。一つはRustベースのデスクトップウォレット偽装ツールで、Ledger、Trezor、Exodusといった人気の暗号資産ウォレットになりすますよう設計されています。
このマルウェアは被害者に説得力のある「リカバリーシード」入力画面を提示し、攻撃者がシードフレーズを取得してデジタル資産を完全に掌握できるようにします。
Golangで書かれた2つ目のペイロードは、広告ブロッカーなどの正規ツールを装った悪意あるブラウザ拡張機能をインストールし、持続的なセッション乗っ取りと認証情報窃取を可能にします。
これは、CastleLoaderキャンペーンクラスターにおいてRustとGolangが使用された初めての観測例であり、検出をより困難にするクロスプラットフォーム型ツールへの移行を示しています。
NeedleStealerの各コンポーネントは、シェルコードをメモリ内で復号・実行するNodeJSベースのインジェクターを通じて展開され、検出・解析をさらに複雑にしています。
Arctic Wolfは、Urutyka、Garrigin、Noidretという3つの主要キャンペーンを特定しました。いずれも同様の多段階感染チェーンをたどりますが、それぞれ独自の改良が加えられています。
Urutykaキャンペーンでは、攻撃者が難読化されたPowerShellスクリプトを利用してIronPythonベースのローダーを配布し、最終的にNetSupport RATと、おそらくLobshotとみられるVNCベースのリモートアクセスツールを展開しています。
このキャンペーンに関連するインフラには、goodbytetelegramm[.]comやurutyka[.]comといったドメインが含まれ、コマンド＆コントロール（C2）サーバーはポート4889で稼働しています。
Garriginキャンペーンはこの構造をさらに発展させ、Microsoft Edgeのアップデートを装ったNullsoft Scriptable Install System（NSIS）ドロッパーを導入しています。
このキャンペーンはC/C++製のインジェクターを通じてCastleStealerを展開し、ペイロードをメモリ内に格納するとともに、検出を回避するためRunMRUレジストリキーなどのフォレンジック痕跡を削除します。
関連インフラにはgrenagana[.]comやgarrigin[.]comのほか、179.132.128[.]189にあるCastleStealerのC2サーバーも含まれます。
Noidretキャンペーンは最も高度な進化型であり、従来のペイロードとNeedleStealerの配布を組み合わせています。fangorinaf[.]comやquiantar[.]comといったドメインは、CastleLoaderの「get_tasks」コマンドを通じて取得される暗号化ペイロードを配布しています。
CastleLoaderキャンペーン、NeedleStealerを展開
注目すべきは、両方のNeedleStealerの亜種が同一のRC4暗号鍵を共有している点で、感染チェーン内で協調してパッケージ化されていることがうかがえます。
共有されているC2ドメインのkileant[.]comは、解析時点でVirusTotal上では検出されておらず、このキャンペーンのステルス性の高さを示しています。
さらなる調査では、デジタル署名されたインストーラーを通じたCastleLoader配布の新たな波が発見されました。これは信頼性を高めセキュリティ対策を回避する手口です。
Securityaudit services
「Mahu Agro」や「TECHNOLOGY APPRAISALS LIMITED」といった発行元によって署名されたサンプルが、qxvnrta[.]comのようなインフラと通信していることが観測されました。
kaneta[.]ccやmonblare[.]comを含む関連ドメインは、今後の活動に向けて準備されているとみられ、2026年8月まで有効なSSL証明書を保有しています。
すべてのキャンペーンを通じて、一貫したインフラのパターンが確認されています。脅威アクターは検出を回避するために意味のない独自のドメイン命名規則を採用し、特定のC2ポート（特に4889と5500）を使い回し、各亜種にわたって共通の約8KBのシェルコードローダーを展開しています。
例えばLedgerを標的とする場合、GUIは説得力のある「リカバリーシード」入力画面を表示し、被害者のシードフレーズを取得するよう設計されています。
YARAベースのレトロハンティングでは、サンプルの重複はごくわずかにとどまっており、統制された配布と標的を絞った活動が行われていることを示しています。
NeedleStealerがCastleLoaderキャンペーンに統合されたことは、高額な金銭窃取とセッションベースのアカウント侵害へと戦略的に軸足を移していることを示しています。
複数言語によるペイロード開発、メモリ内実行、署名済みマルウェアの配布と組み合わさることで、これらのキャンペーンは防御側にとってますます大きな課題となっています。
組織に対しては、異常なPowerShellの活動、無許可のブラウザ拡張機能、既知の悪意あるインフラへの送信接続を監視するとともに、シェルコードベースのローダーや段階的なペイロード実行を検出するために振る舞い検知を活用することが推奨されます。
2026年のAI SOCに求められる機能とは？ 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/castleloader-campaign-deploys-needlestealer/
