Duy Linh✔
Writer
CastleStealer, phần mềm độc hại chuyên đánh cắp thông tin được viết bằng C#, lần đầu được công khai vào tháng 4/2026, đang được phát triển với nhiều khả năng vượt xa việc thu thập thông tin đăng nhập. Các mẫu mới được Flashpoint phân tích cho thấy mã độc này đã có thể vượt qua cơ chế bảo vệ dữ liệu của trình duyệt Chromium, thực thi lệnh từ xa và truyền dữ liệu đánh cắp qua các gói TCP được mã hóa, thay vì tải toàn bộ thông tin vào một tệp lưu trữ duy nhất.
Mặc dù CastleStealer chưa được các tác nhân đe dọa sử dụng rộng rãi, quá trình phát triển liên tục, các trình tải mã độc ngày càng tinh vi và khả năng mở rộng hoạt động sau khi xâm nhập cho thấy đây là một mối đe dọa đang nổi lên. CastleStealer không còn đơn thuần là công cụ thu thập thông tin đăng nhập mà đang dần trở thành một nền tảng có nhiều chức năng phục vụ hoạt động tấn công.
Trong giai đoạn đầu, CastleStealer được phát tán thông qua kỹ thuật xã hội ClickFix. Kẻ tấn công dụ nạn nhân thực hiện các thao tác theo hướng dẫn trên màn hình, từ đó khiến họ tự chạy một đoạn mã Python có nhiệm vụ thực thi CastleLoader.
Đến tháng 6/2026, các đối tượng đứng sau chiến dịch đã thiết lập một chuỗi phát tán khác, sử dụng quảng cáo độc hại để dẫn dụ người dùng đến những trang web giả mạo trình cài đặt Node.js.
Nội dung của tập lệnh hàng loạt được tải xuống, được ngụy trang dưới dạng trình cài đặt Node.js (Nguồn: Flashpoint).
Tại đây, một tập lệnh hàng loạt được ngụy trang dưới dạng trình cài đặt sẽ tải xuống và thực thi OXLOADER. Đây là trình tải mã độc mới hơn, được tích hợp nhiều cơ chế nhằm che giấu hoạt động và gây khó khăn cho quá trình phân tích, bao gồm nhiều giai đoạn tự giải mã, phân giải API bị làm mờ, kiểm tra môi trường hộp cát và thực thi mã độc trực tiếp trong bộ nhớ.
Flashpoint đánh giá các trình tải này dường như được phát triển nội bộ, cho thấy trình độ kỹ thuật đáng kể trong việc né tránh phát hiện và chống phân tích. Theo báo cáo được Flashpoint chia sẻ với GBhackers, quá trình chuyển đổi từ phương thức phát tán ban đầu sang chuỗi phân phối mới phản ánh nỗ lực của những kẻ vận hành CastleStealer trong việc cải tiến cả khâu phát tán lẫn tải trọng độc hại. Các cơ chế bảo vệ được tích hợp trong trình tải khiến việc kiểm tra mã độc trở nên phức tạp hơn trước khi quá trình thu thập thông tin bắt đầu.
Phạm vi thu thập dữ liệu của CastleStealer khá rộng, tập trung vào trình duyệt, ứng dụng nhắn tin, nền tảng trò chơi và các tệp có khả năng chứa thông tin tài chính.
Đối với các trình duyệt dựa trên Chromium, mã độc tìm cách thu thập thông tin đăng nhập đã lưu, cookie, lịch sử duyệt web, dữ liệu web và thông tin liên quan đến tiện ích mở rộng. Hoạt động thu thập còn bao gồm định danh tiện ích mở rộng, cơ sở dữ liệu IndexedDB và dữ liệu trong bộ nhớ lưu trữ của các tiện ích này.
CastleStealer cũng nhắm mục tiêu vào Firefox để lấy thông tin đăng nhập, cookie, lịch sử duyệt web và lịch sử biểu mẫu. Ngoài dữ liệu trình duyệt, mã độc tìm kiếm các tệp cấu hình Steam, gồm <span>config.vdf</span>, <span>loginusers.vdf</span> và <span>local.vdf</span>, đồng thời kiểm tra những thư mục Discord và Telegram trong thư mục APPDATA của người dùng.
Khi thu thập tệp trên hệ thống, CastleStealer áp dụng bộ lọc để loại trừ một số loại tệp và những tệp có tên chứa từ “backup”. Ngược lại, mã độc ưu tiên các tệp có tên chứa từ “wallet”. Cách lựa chọn này cho thấy phạm vi tìm kiếm không chỉ giới hạn ở thông tin đăng nhập mà còn hướng đến dữ liệu liên quan đến ví tiền điện tử và các thông tin có giá trị tài chính.
Một trong những thay đổi quan trọng nhất của các phiên bản mới là khả năng vượt qua ABE (Application-Bound Encryption), cơ chế mã hóa liên kết ứng dụng được sử dụng để bảo vệ dữ liệu trong những trình duyệt Chromium có hỗ trợ tính năng này.
Các mẫu CastleStealer trước đây chưa thể trích xuất dữ liệu được bảo vệ từ những trình duyệt đã cập nhật và tích hợp cơ chế kiểm soát nói trên. Tuy nhiên, các mẫu mới đã sử dụng giao diện COM IElevator của Chrome để vượt qua lớp bảo vệ này. Theo Flashpoint, đây cũng là kỹ thuật đã được ghi nhận ở một số phần mềm đánh cắp thông tin hiện đại khác.
Thay đổi này giúp CastleStealer khắc phục một hạn chế trong khả năng thu thập dữ liệu của các phiên bản trước. Dù vậy, điều đó không đồng nghĩa với việc mọi cấu hình trình duyệt đều có thể bị khai thác theo cùng một cách.
Giải mã AES-128 CBC của gói tin mạng CastleStealer (Nguồn: Flashpoint).
Khả năng điều khiển từ xa giúp mở rộng đáng kể những gì kẻ tấn công có thể thực hiện sau khi xâm nhập thành công. Thay vì chỉ thu thập dữ liệu rồi kết thúc hoạt động, chúng có thể tiếp tục tương tác trực tiếp với hệ thống bị xâm nhập thông qua các lệnh được gửi từ xa.
Một thay đổi khác nằm ở phương thức truyền dữ liệu đánh cắp. Thay vì đóng gói toàn bộ thông tin vào một tệp lưu trữ duy nhất rồi tải lên máy chủ, CastleStealer chia dữ liệu thành những gói nhỏ hơn và gửi qua giao thức TCP thô. Quá trình truyền tải sử dụng thuật toán mã hóa AES.
Theo phân tích của Flashpoint, các gói tin có cấu trúc gồm một trường kích thước bốn byte, một vectơ khởi tạo (IV) và phần dữ liệu được mã hóa. Các nhà phân tích đã chứng minh khả năng giải mã bằng thuật toán AES-128 ở chế độ CBC (Cipher Block Chaining).
Việc chia dữ liệu thành những gói nhỏ có thể giúp hạn chế các đợt tăng lưu lượng mạng đột ngột, vốn có khả năng thu hút sự chú ý của các hệ thống giám sát. Tuy nhiên, mã hóa dữ liệu không đồng nghĩa với việc hoạt động truyền tải sẽ không thể bị phát hiện. Những dấu hiệu bất thường trong kết nối mạng vẫn có thể cung cấp cơ sở để nhận diện hoạt động đáng ngờ.
Sau khi hoàn tất hoạt động, CastleStealer sử dụng kỹ thuật trì hoãn bằng lệnh ping để tự xóa khỏi hệ thống. Cơ chế này giúp mã độc thực hiện bước dọn dẹp sau khi hoàn thành nhiệm vụ.
Nhìn chung, những thay đổi trong CastleStealer cho thấy phần mềm độc hại này đang được phát triển theo hướng toàn diện hơn: từ cải tiến phương thức phát tán, tăng khả năng né tránh phân tích, mở rộng phạm vi thu thập dữ liệu đến bổ sung chức năng điều khiển từ xa và thay đổi cách truyền thông tin đánh cắp. Dù chưa được sử dụng rộng rãi, những năng lực mới được Flashpoint ghi nhận cho thấy CastleStealer đang vượt xa hình thái ban đầu của một công cụ đánh cắp thông tin đăng nhập đơn thuần.
Mặc dù CastleStealer chưa được các tác nhân đe dọa sử dụng rộng rãi, quá trình phát triển liên tục, các trình tải mã độc ngày càng tinh vi và khả năng mở rộng hoạt động sau khi xâm nhập cho thấy đây là một mối đe dọa đang nổi lên. CastleStealer không còn đơn thuần là công cụ thu thập thông tin đăng nhập mà đang dần trở thành một nền tảng có nhiều chức năng phục vụ hoạt động tấn công.
Trong giai đoạn đầu, CastleStealer được phát tán thông qua kỹ thuật xã hội ClickFix. Kẻ tấn công dụ nạn nhân thực hiện các thao tác theo hướng dẫn trên màn hình, từ đó khiến họ tự chạy một đoạn mã Python có nhiệm vụ thực thi CastleLoader.
Đến tháng 6/2026, các đối tượng đứng sau chiến dịch đã thiết lập một chuỗi phát tán khác, sử dụng quảng cáo độc hại để dẫn dụ người dùng đến những trang web giả mạo trình cài đặt Node.js.
Nội dung của tập lệnh hàng loạt được tải xuống, được ngụy trang dưới dạng trình cài đặt Node.js (Nguồn: Flashpoint).
Tại đây, một tập lệnh hàng loạt được ngụy trang dưới dạng trình cài đặt sẽ tải xuống và thực thi OXLOADER. Đây là trình tải mã độc mới hơn, được tích hợp nhiều cơ chế nhằm che giấu hoạt động và gây khó khăn cho quá trình phân tích, bao gồm nhiều giai đoạn tự giải mã, phân giải API bị làm mờ, kiểm tra môi trường hộp cát và thực thi mã độc trực tiếp trong bộ nhớ.
Flashpoint đánh giá các trình tải này dường như được phát triển nội bộ, cho thấy trình độ kỹ thuật đáng kể trong việc né tránh phát hiện và chống phân tích. Theo báo cáo được Flashpoint chia sẻ với GBhackers, quá trình chuyển đổi từ phương thức phát tán ban đầu sang chuỗi phân phối mới phản ánh nỗ lực của những kẻ vận hành CastleStealer trong việc cải tiến cả khâu phát tán lẫn tải trọng độc hại. Các cơ chế bảo vệ được tích hợp trong trình tải khiến việc kiểm tra mã độc trở nên phức tạp hơn trước khi quá trình thu thập thông tin bắt đầu.
CastleStealer đánh cắp dữ liệu gì và vượt qua cơ chế bảo vệ trình duyệt ra sao?
Sau khi được thực thi, CastleStealer kiểm tra ngôn ngữ giao diện của hệ thống để xác định liệu máy tính có sử dụng tiếng Nga hay không, thông qua mã ngôn ngữ ru-RU. Tiếp đó, mã độc thiết lập kết nối với máy chủ chỉ huy và kiểm soát (C2), gửi một gói tin bắt tay chứa mã định danh UUID của bản dựng cùng những thông tin cơ bản về máy chủ. Sau bước này, phần mềm độc hại tiếp tục gửi thêm dữ liệu chi tiết về thiết bị bị xâm nhập.Phạm vi thu thập dữ liệu của CastleStealer khá rộng, tập trung vào trình duyệt, ứng dụng nhắn tin, nền tảng trò chơi và các tệp có khả năng chứa thông tin tài chính.
Đối với các trình duyệt dựa trên Chromium, mã độc tìm cách thu thập thông tin đăng nhập đã lưu, cookie, lịch sử duyệt web, dữ liệu web và thông tin liên quan đến tiện ích mở rộng. Hoạt động thu thập còn bao gồm định danh tiện ích mở rộng, cơ sở dữ liệu IndexedDB và dữ liệu trong bộ nhớ lưu trữ của các tiện ích này.
CastleStealer cũng nhắm mục tiêu vào Firefox để lấy thông tin đăng nhập, cookie, lịch sử duyệt web và lịch sử biểu mẫu. Ngoài dữ liệu trình duyệt, mã độc tìm kiếm các tệp cấu hình Steam, gồm <span>config.vdf</span>, <span>loginusers.vdf</span> và <span>local.vdf</span>, đồng thời kiểm tra những thư mục Discord và Telegram trong thư mục APPDATA của người dùng.
Khi thu thập tệp trên hệ thống, CastleStealer áp dụng bộ lọc để loại trừ một số loại tệp và những tệp có tên chứa từ “backup”. Ngược lại, mã độc ưu tiên các tệp có tên chứa từ “wallet”. Cách lựa chọn này cho thấy phạm vi tìm kiếm không chỉ giới hạn ở thông tin đăng nhập mà còn hướng đến dữ liệu liên quan đến ví tiền điện tử và các thông tin có giá trị tài chính.
Một trong những thay đổi quan trọng nhất của các phiên bản mới là khả năng vượt qua ABE (Application-Bound Encryption), cơ chế mã hóa liên kết ứng dụng được sử dụng để bảo vệ dữ liệu trong những trình duyệt Chromium có hỗ trợ tính năng này.
Các mẫu CastleStealer trước đây chưa thể trích xuất dữ liệu được bảo vệ từ những trình duyệt đã cập nhật và tích hợp cơ chế kiểm soát nói trên. Tuy nhiên, các mẫu mới đã sử dụng giao diện COM IElevator của Chrome để vượt qua lớp bảo vệ này. Theo Flashpoint, đây cũng là kỹ thuật đã được ghi nhận ở một số phần mềm đánh cắp thông tin hiện đại khác.
Thay đổi này giúp CastleStealer khắc phục một hạn chế trong khả năng thu thập dữ liệu của các phiên bản trước. Dù vậy, điều đó không đồng nghĩa với việc mọi cấu hình trình duyệt đều có thể bị khai thác theo cùng một cách.
Điều khiển máy tính từ xa và truyền dữ liệu bằng TCP mã hóa
Bên cạnh việc mở rộng khả năng đánh cắp thông tin, CastleStealer còn được tích hợp một trình shell điều khiển từ xa cơ bản. Thông qua chức năng này, kẻ vận hành có thể gửi lệnh shell đến máy tính bị xâm nhập, cung cấp tệp để thực thi hoặc gửi URL để mã độc tải xuống và khởi chạy các tải trọng bổ sung.Giải mã AES-128 CBC của gói tin mạng CastleStealer (Nguồn: Flashpoint).
Khả năng điều khiển từ xa giúp mở rộng đáng kể những gì kẻ tấn công có thể thực hiện sau khi xâm nhập thành công. Thay vì chỉ thu thập dữ liệu rồi kết thúc hoạt động, chúng có thể tiếp tục tương tác trực tiếp với hệ thống bị xâm nhập thông qua các lệnh được gửi từ xa.
Một thay đổi khác nằm ở phương thức truyền dữ liệu đánh cắp. Thay vì đóng gói toàn bộ thông tin vào một tệp lưu trữ duy nhất rồi tải lên máy chủ, CastleStealer chia dữ liệu thành những gói nhỏ hơn và gửi qua giao thức TCP thô. Quá trình truyền tải sử dụng thuật toán mã hóa AES.
Theo phân tích của Flashpoint, các gói tin có cấu trúc gồm một trường kích thước bốn byte, một vectơ khởi tạo (IV) và phần dữ liệu được mã hóa. Các nhà phân tích đã chứng minh khả năng giải mã bằng thuật toán AES-128 ở chế độ CBC (Cipher Block Chaining).
Việc chia dữ liệu thành những gói nhỏ có thể giúp hạn chế các đợt tăng lưu lượng mạng đột ngột, vốn có khả năng thu hút sự chú ý của các hệ thống giám sát. Tuy nhiên, mã hóa dữ liệu không đồng nghĩa với việc hoạt động truyền tải sẽ không thể bị phát hiện. Những dấu hiệu bất thường trong kết nối mạng vẫn có thể cung cấp cơ sở để nhận diện hoạt động đáng ngờ.
Sau khi hoàn tất hoạt động, CastleStealer sử dụng kỹ thuật trì hoãn bằng lệnh ping để tự xóa khỏi hệ thống. Cơ chế này giúp mã độc thực hiện bước dọn dẹp sau khi hoàn thành nhiệm vụ.
Nhìn chung, những thay đổi trong CastleStealer cho thấy phần mềm độc hại này đang được phát triển theo hướng toàn diện hơn: từ cải tiến phương thức phát tán, tăng khả năng né tránh phân tích, mở rộng phạm vi thu thập dữ liệu đến bổ sung chức năng điều khiển từ xa và thay đổi cách truyền thông tin đánh cắp. Dù chưa được sử dụng rộng rãi, những năng lực mới được Flashpoint ghi nhận cho thấy CastleStealer đang vượt xa hình thái ban đầu của một công cụ đánh cắp thông tin đăng nhập đơn thuần.
