CastleLoader : comment fonctionne cette nouvelle chaîne d’attaque ?
Les cyberattaques ne reposent plus toujours sur un seul malware. Certaines combinent plusieurs étapes pour tromper les utilisateurs, contourner les solutions de sécurité et déployer discrètement une charge malveillante.
C’est le cas de CastleLoader, un malware-as-a-service ciblant les systèmes Windows et observé depuis début 2025. Également connu sous le nom de CastleBot, il fonctionne comme un chargeur capable de récupérer et d’exécuter différentes charges malveillantes.
Mais comment fonctionne une attaque CastleLoader ?
Une chaîne d’attaque en plusieurs étapes
La chaîne CastleLoader peut être résumée en cinq étapes :
Leurre → exécution utilisateur → stager → chargeur PE → porte dérobée
1. Un faux contenu pour attirer la victime
Tout commence généralement par une technique d'ingénierie sociale.
Les attaquants utilisent notamment des pages ClickFix, de faux dépôts GitHub, des sites de téléchargement frauduleux ou encore des pages créées grâce à l'empoisonnement SEO.
Dans certaines campagnes récentes, les pages imitent des services connus ou proposent de fausses fonctionnalités d'IA, comme la suppression d'un arrière-plan d'image. Un script peut alors placer une commande malveillante dans le presse-papiers de l'utilisateur.
2. Le piège du copier-coller
La victime est ensuite invitée à ouvrir Win+R et à coller la commande.
Cette action apparemment anodine déclenche en réalité l'étape suivante de l'infection.
Selon la campagne, CastleLoader peut utiliser différents outils Windows, notamment finger.exe, PowerShell, AutoIt ou Python.
C'est l'une des raisons pour lesquelles les attaques ClickFix sont particulièrement efficaces : l'utilisateur est amené à exécuter lui-même la première commande.
3. Le stager se charge en mémoire
La commande permet ensuite de récupérer un stager en shellcode.
Son rôle est de préparer les composants suivants sans laisser nécessairement les mêmes traces qu'un exécutable traditionnel sur le disque.
Le stager utilise notamment le parcours du PEB, le hachage DJB2 pour résoudre les API Windows et le chiffrement XOR pour déchiffrer les charges utiles en mémoire.
4. Le chargeur PE masque sa présence
Le stager transmet ensuite le contrôle au chargeur PE.
Celui-ci mappe le PE en mémoire et peut manipuler les structures PEB_LDR_DATA afin que le composant injecté ressemble davantage à un module légitimement chargé.
CastleLoader utilise ainsi différentes techniques d'évasion destinées à compliquer la détection par les outils de sécurité traditionnels.
5. La porte dérobée communique avec le C2
Une fois le composant principal chargé, CastleLoader contacte son serveur de commande et contrôle (C2).
Il collecte notamment des informations sur le système compromis avant de recevoir les tâches définies par l'opérateur. Ces tâches peuvent déterminer quelle charge utile télécharger et comment l'exécuter.
CastleLoader peut ainsi servir de point d'entrée pour différents malwares, notamment des RAT et des infostealers, et potentiellement pour des chaînes d'attaque associées à des opérations de ransomware.
Comment détecter une attaque CastleLoader ?
Même si CastleLoader cherche à éviter les détections basées sur les signatures, sa chaîne d'exécution laisse plusieurs signaux comportementaux.
Les équipes de sécurité peuvent notamment surveiller :
des commandes malveillantes copiées dans le presse-papiers puis exécutées via Win+R ;
l'utilisation inhabituelle de finger.exe depuis un poste utilisateur ;
l'exécution de Python depuis %APPDATA%, %LOCALAPPDATA% ou %TEMP% ;
la manipulation des structures du PEB ;
des connexions HTTP vers des chemins caractéristiques comme /service/settings/ ou /service/tasks ;
l'utilisation de Googlebot comme User-Agent depuis un terminal utilisateur.
Comment se protéger ?
La protection contre une attaque CastleLoader nécessite de surveiller l'ensemble de la chaîne, et pas uniquement les fichiers malveillants.
Les entreprises peuvent notamment :
sensibiliser les utilisateurs aux faux messages ClickFix et aux demandes de copier-coller de commandes ;
contrôler l'accès à Win+R pour les utilisateurs qui n'en ont pas besoin ;
bloquer le trafic TCP/79 sortant ;
limiter l'exécution de fichiers non signés depuis les répertoires accessibles aux utilisateurs ;
renforcer la surveillance de PowerShell et des LOLBins tels que regsvr32 et msiexec.
À retenir
CastleLoader montre comment une attaque moderne peut combiner ingénierie sociale, exécution de commandes, chargement en mémoire, techniques d'évasion et communication C2 dans une seule chaîne.
Pour les équipes IT et sécurité, la meilleure défense consiste donc à détecter les comportements suspects et leur enchaînement, plutôt que de rechercher uniquement la présence d'un fichier malveillant.
Du premier clic jusqu'au déploiement de la charge utile, chaque étape peut fournir un signal permettant d'interrompre l'attaque.
Détectez les attaques CastleLoader avant qu’elles ne compromettent vos systèmes.
Malware Protection Plus identifie les comportements suspects de la chaîne d’attaque, du stager au chargement de la charge utile.