Pesquisadores da PRODAFT identificaram o CastleLoader, um novo e versátil malware loader utilizado em campanhas de distribuição de stealers, RATs e outros loaders. A ameaça vem ganhando espaço no ecossistema de malware-as-a-service (MaaS) por sua eficiência, modularidade e forte uso de engenharia social. 

1. Função: Loader modular com múltiplas finalidades 

CastleLoader atua tanto como vetor inicial de infecção quanto como stager, separando a contaminação inicial da entrega do payload principal. Essa modularidade dificulta a atribuição e a resposta. 

2. Técnicas evasivas: Anti-análise e injeção de código 

Emprega dead code injection, empacotamento e técnicas de evasão como: 

3. Métodos de distribuição: ClickFix e GitHub falso 

4. Carga maliciosa: Stealers, RATs e outros loaders 

Já foram identificados os seguintes malwares sendo distribuídos por CastleLoader: 

5. Integração com o ecossistema MaaS 

O painel de C2 do CastleLoader mostra recursos típicos de ofertas malware-as-a-service, indicando que os operadores possuem experiência em infraestrutura cibercriminosa. 

6. Dados da campanha: Escopo e impacto 

Desde maio de 2025: