2026新兴窃密王？CastleStealer恶意软件突破Chromium，感染后还能远程控制！

原创

CyberOk
CyberOk

CyberOk

2026年10月11日 07:51
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年4月才首次公开露面的CastleStealer，正在以超出预期的速度进化。Flashpoint最新分析显示，这款基于C#/.NET的信息窃取恶意软件已成功突破Chromium浏览器的App-Bound Encryption（ABE）防护，新增远程命令执行能力，并改用小批量AES加密TCP传输规避网络检测。尽管尚未出现大规模感染，但其能力组合和迭代速度，已使其从“凭据收割工具”升级为具备远程控制与隐蔽外泄能力的复合威胁。

一、传播链进化：从ClickFix到假Node.js广告

CastleStealer最早于2026年4月被发现，当时通过ClickFix社会工程学投递Python脚本，执行名为“CastleLoader”的加载器。CastleLoader被与GrayBravo活动集群关联。

到6月，攻击者启用另一条分发链。据Elastic Security Labs分析，活动编号REF8372，攻击从“lts version of node.js”等搜索词开始，用户点击Google Ads后进入仿冒网站node-js[.]prentiva99[.]info，页面伪装成Node.js官网。网站提供的批处理脚本托管在合法去中心化云存储Storj上，以此绕过信任已知服务的过滤器。脚本运行后显示虚假安装向导，同时通过PowerShell下载OXLOADER，并尝试通过UAC提升权限。随后，加载器利用DLL劫持、多层自解密和沙箱检查，最终将控制权交给CastleStealer。Google已于2026年5月14日删除相关广告账户及活动，但Elastic认为OXLOADER仍处早期发展阶段，值得持续追踪。

Flashpoint评估认为，这些加载器似乎为内部开发，在反分析和隐蔽性方面展现出相当的技术能力。

二、窃取范围：浏览器、Steam、Discord、Telegram、钱包

执行后，CastleStealer首先检查系统多语言用户界面语言是否为俄语（ru-RU），随后连接C2基础设施，发送包含构建UUID和主机基本信息的握手包，再上传更多机器详情。其收集范围覆盖：

• Chromium浏览器：登录数据、cookies、浏览历史、Web数据、扩展信息（扩展ID、IndexedDB、扩展存储）；
• Firefox：登录凭据、cookies、浏览历史、表单历史；
• Steam：config.vdf、loginusers.vdf、local.vdf等配置文件；
• Discord和Telegram：在APPDATA中搜索相关目录；
• 文件系统：广泛收集文件，排除特定类型和含“backup”的文件，特别优先收集文件名含“wallet”的文件，指向加密货币钱包。

三、关键突破：绕过Chromium ABE

此次最引人注目的升级，是CastleStealer绕过了Chromium的App-Bound Encryption。早期样本无法从启用该保护的更新版浏览器中提取数据。新样本通过调用Chrome的IElevator COM接口成功绕过。Flashpoint指出，这一技术也被其他现代信息窃取器使用，但CastleStealer的采用意味着其此前一大收集限制已被消除，可获取的浏览器数据范围显著扩大。不过，Flashpoint也强调，这并不证明每一种浏览器配置都脆弱。

四、从窃密到控机：远程Shell

CastleStealer不再是一次性窃取工具。新样本内置基本远程Shell功能，操作员可以发送系统命令、提供文件供执行，或指定URL让恶意软件下载并运行额外载荷。这意味着攻击者在初始感染后可以持续与受感染系统交互，将信息窃取器转变为进一步入侵的入口点。用Flashpoint的话说，攻击者不必在收集完目标信息后就结束行动，而是可以“引入额外载荷”。

五、隐蔽外泄：小包TCP+AES，完成后自删除

外泄方式也明显区别于传统信息窃取器。CastleStealer不将数据打包成单个大档案上传，而是通过原始TCP发送小批量数据，并使用AES加密。数据包结构为：4字节大小字段 → AES初始化向量 → 加密数据。Flashpoint分析确认其使用AES-128 CBC解密。分析师评估认为，这种小批量传输可能减少因单次大流量引发的网络检测告警，但加密本身并不使流量不可见。任务完成后，CastleStealer使用常见的ping延迟自删除技术移除自身文件，减少感染主机上的痕迹。

六、影响与展望：为何值得高度警惕

Flashpoint明确表示，目前尚未观察到威胁行为者大规模转向CastleStealer。但其持续发展轨迹——从ClickFix到假Node.js广告，从无法绕过ABE到成功突破，从单纯窃取到远程控制，从大档案上传到小批量加密外泄——表明其开发者正在系统性地补齐能力短板。

核心判断：CastleStealer的威胁不在于当前感染量，而在于进化速度与能力组合。它已同时具备绕过浏览器ABE、远程命令执行、隐蔽外泄和自删除四项能力。这四者叠加，使其从窃密器升级为可长期控制的入侵平台。对安全团队而言，浏览器ABE不再足以单独阻止凭据窃取；远程Shell使感染后果远超数据泄露；小批量TCP加密外泄则降低了传统基于流量峰值的检测手段的有效性。持续监控其加载器演变、C2基础设施和分发渠道，是当前防御工作的重点。

参考文献

1. Flashpoint Intel Team, “CastleStealer: An Emerging Infostealer Growing More Sophisticated”, Flashpoint, 2026-10-08. https://flashpoint.io/blog/castlestealer-an-emerging-infostealer-growing-more-sophisticated/
2. “CastleStealer пробил защиту Chromium. Теперь хакеры могут не только красть пароли, но и управлять компьютером”, SecurityLab.ru, 2026-10-10. https://www.securitylab.ru/news/578564.php
3. “Искали свежий Node.js, а скачали невидимый вирус. Разбираем схему распространения OXLOADER”, SecurityLab.ru, 2026-06-23. https://www.securitylab.ru/news/574074.php
4. Mayura Kathir, “CastleStealer Malware Bypasses Chromium ABE and Adds Remote Command Execution Capabilities”, GBHackers, 2026-10-09. https://gbhackers.com/castlestealer-malware/