CastleLoader マルウェア
サイバー脅威が絶えず進化する中、「CastleLoader」と呼ばれる新たなマルウェアローダーが、サイバー犯罪者の重要な武器として登場しました。2025年初頭に初めて検出されたCastleLoaderは、そのモジュール性、高度な回避戦術、そして適応性により急速に普及しました。研究者は、情報窃取型マルウェアやリモートアクセス型トロイの木馬（RAT）を展開する複数のキャンペーンでこのマルウェアが重要な役割を果たしていることを観察しており、マルウェア・アズ・ア・サービス（MaaS）エコシステムにおける懸念が高まっています。
目次
多用途の活用：強力な配信ツール
CastleLoader は、次のようなさまざまな悪意のあるペイロードを配信するために使用されています。
- 情報窃盗マルウェア: DeerStealer、RedLine、StealC
- リモートアクセス型トロイの木馬（RAT）：NetSupport RAT、SectopRAT
CastleLoaderはモジュール構造を採用しており、初期ドロッパーと第二段階のローダーの両方の役割を果たすため、攻撃者は感染ベクトルとペイロードを切り離すことができます。この分離により、検出と対応が複雑化し、攻撃者の特定が著しく困難になります。
難読化と回避：常に一歩先を行く
CastleLoader は、検出を回避し、分析を妨げるためにいくつかの高度なテクニックを使用します。
- デッドコードの挿入とパッキングにより、実際の機能を隠すことができます。
- 初期スキャン レイヤーを回避するまで実行を遅延するランタイム アンパック。
- SmokeLoader や IceID などの高度なローダーに匹敵する、サンドボックス対策と難読化。
解凍されると、ローダーはコマンドアンドコントロール（C2）サーバーにアクセスし、追加モジュールをダウンロードして実行を開始します。ペイロードは通常、シェルコードが埋め込まれたポータブル実行ファイルとして配信され、シェルコードによってローダーのコアルーチンが起動されます。
戦術とテクニック：その核心は欺瞞
CastleLoader を使用したキャンペーンは、特に次のようなソーシャル エンジニアリングに大きく依存しています。
ClickFixをテーマとしたフィッシング攻撃
被害者は、Google検索結果の改ざんによって、ビデオ会議プラットフォーム、ブラウザアップデート、開発者ライブラリ、または文書検証ポータルを装った悪意のあるドメインに誘導されます。これらのページには、偽のエラーメッセージやCAPTCHAプロンプトが含まれており、ユーザーはPowerShellコマンドを実行するよう指示され、気づかないうちに感染を開始してしまいます。ClickFix 攻撃は、多くのハッカーグループによって広く採用されている手法となっています。
偽のGitHubリポジトリ
CastleLoaderは、正規のオープンソースツールを模倣したリポジトリを通じても拡散します。開発者は、これらのリポジトリから一見信頼できるインストールスクリプトを実行し、知らないうちにシステムに感染させてしまう可能性があります。この戦術は、GitHubの正当性と、開発者がオープンリポジトリを信頼していることを悪用しています。
これらの戦略は、初期アクセスブローカー (IAB) が一般的に使用する手法を反映しており、より広範なサイバー犯罪サプライチェーンにおける CastleLoader の立場を強化しています。
重複キャンペーンとリーチの拡大
研究者たちは、CastleLoaderとDeerStealerが複数のキャンペーンで使用されていることを記録しており、Hijack Loaderの一部の亜種が両方のツールを介して配信されたことを指摘しています。各キャンペーンの背後にいる脅威アクターは異なる可能性がありますが、ローダーの重複使用は、サイバー犯罪グループ間で共通のエコシステムまたはサービスモデルが存在していることを示唆しています。
2025年5月以降、CastleLoaderは7台のC2サーバーを利用していることが確認され、1,634件の感染試行が記録されています。このうち469台のデバイスが侵入に成功し、感染成功率は28.7%でした。
脅威の背後にあるインフラ
CastleLoaderを支えるC2インフラは、非常に堅牢です。関連するWebベースのパネルは、感染システムを集中管理する機能を提供しており、これはMaaS（Malware as a Service）プラットフォームに見られる機能と似ています。これは、このローダーの開発と展開の背後に、経験豊富で組織化されたオペレーションが存在することを示しています。
重要なポイント: CastleLoader の脅威の増大
CastleLoader は単なるローダーではなく、より広範なマルウェア キャンペーンを戦略的に実現するものです。
モジュール設計、分析防止機能、多様な配信戦術により、柔軟性とステルス性を求める脅威アクターにとって最適なツールとなっています。
CastleLoader は、GitHub などの信頼できるプラットフォームを悪用し、ソーシャル エンジニアリングを通じてユーザーの行動を悪用することで、企業環境と開発者環境の両方で警戒と防御戦略を強化する必要があることを強調しています。
この脅威は進化し続けているため、防御側は新たな戦術に警戒を怠らず、大規模なサイバー犯罪を実行するために舞台裏で活動するローダーに対する防御を強化する必要があります。
