Điểm chính

  • CastleStealer là dòng mã độc đánh cắp thông tin phát triển từ nền tảng C# với khả năng tấn công mạnh mẽ.
  • Mã độc này sử dụng trình tải OXLOADER để thực thi trực tiếp trong bộ nhớ và vượt qua cơ chế App-Bound Encryption của Chromium.
  • Bên cạnh việc thu thập dữ liệu, CastleStealer còn cung cấp tính năng điều khiển từ xa giống như một mã độc RAT.

CastleStealer, một dòng mã độc đánh cắp thông tin hoạt động trên nền tảng C#, đang ngày càng tinh vi với khả năng vượt qua các cơ chế bảo mật hiện đại và cung cấp quyền điều khiển từ xa cho tin tặc.

Phương thức phân phối và thực thi

Được phát hiện lần đầu vào tháng 4 năm 2026 thông qua các chiến dịch ClickFix dưới dạng script Python, CastleStealer đã thay đổi chiến thuật vào tháng 6. Kẻ tấn công chuyển sang sử dụng quảng cáo Google giả mạo trình cài đặt Node.js để lừa người dùng tải về tệp tin batch độc hại cùng trình tải OXLOADER. Phương pháp này giúp mã độc chạy trực tiếp trong bộ nhớ, qua mặt các giải pháp bảo mật dựa trên tệp tin truyền thống.

Hành vi thu thập dữ liệu

Trước khi kết nối với máy chủ C2, mã độc tiến hành kiểm tra ngôn ngữ hệ thống ru-RU. Nó thu thập thông tin thiết bị, dữ liệu đăng nhập, cookie và lịch sử duyệt web từ các trình duyệt Chromium lẫn Firefox. Ngoài ra, CastleStealer còn nhắm đến tệp cấu hình Steam cùng dữ liệu từ các ứng dụng nhắn tin như Discord và Telegram.

Vượt qua bảo mật trình duyệt và tính năng RAT

Một điểm đáng chú ý là khả năng vô hiệu hóa cơ chế App-Bound Encryption của Chromium bằng cách lợi dụng giao diện COM IElevator của Chrome. Sự can thiệp này biến CastleStealer từ một công cụ đánh cắp thụ động thành mã độc truy cập từ xa (RAT), cho phép kẻ tấn công thực thi lệnh và can thiệp trực tiếp vào máy nạn nhân.

Phương thức che giấu và khuyến nghị phòng thủ

Để tránh bị phát hiện qua lưu lượng mạng, CastleStealer chia nhỏ dữ liệu thành các gói tin mã hóa AES gồm trường kích thước 4-byte, vector khởi tạo và dữ liệu mã hóa. Các chuyên gia khuyến nghị doanh nghiệp cần cô lập ngay thiết bị nhiễm, rà soát tiến trình và áp dụng các giải pháp giám sát hành vi dựa trên endpoint thay vì chỉ dựa vào mã băm tệp tin.