近年来，随着网络攻击技术的不断升级，恶意软件的隐蔽性和复杂性也随之攀升。受保护和严格审查的开源代码托管平台GitHub，原本是软件开发者们信赖的资源空间，却也成为攻击者的新兴温床。CastleLoader恶意软件便借助假冒GitHub仓库和ClickFix钓鱼攻击手段，成功感染了469台设备，对网络安全形势构成严峻挑战。CastleLoader首次被发现于2025年初，作为一种高度模块化的恶意软件加载器，它不仅自身携带着强大的反分析和反沙箱技术，还能灵活适配各种信息窃取工具和远程访问木马（RAT），如DeerStealer、RedLine、StealC、NetSupport RAT以及SectopRAT等。此类多功能的设计，使其成为网络犯罪分子的首选投放平台，大幅提升了攻击的隐蔽性及持续性。CastleLoader的传播手法极具欺骗性。
攻击者构建出与真实GitHub仓库极为相似的漏洞，本质上是伪造的恶意代码仓库，诱导开发者误信其可信度，进而下载并执行被篡改后的软件安装包。此外，利用ClickFix钓鱼技术，攻击者通过构建带有Cloudflare伪装的钓鱼网站，针对搜索引擎优化（SEO）毒化，让用户在搜索过程中误入陷阱。这些钓鱼页面往往附带伪造的错误提示及验证码验证流程，诱导受害者执行PowerShell脚本，一旦执行，恶意软件加载链便开始发动，迅速完成对机器的控制和感染。CastleLoader的分布过程采用多阶段动态解包技术，植入的便携式可执行文件中嵌入了shellcode，运行后调用主加载模块连接控制服务器，从而下载并执行下一阶段的恶意负载。其设计的模块化架构使得加载器能够灵活作为投递器和中继器，将初始感染路径与最终有效载荷分开，有效分散了追踪溯源难度，令安全响应人员在应对时面临更高门槛。更值得注意的是，CastleLoader所使用的命令控制服务器（C2）系统具备高度自动化管理能力，能够收集感染设备信息、分类受害者，以及根据定制任务灵活部署各种恶意负载。
IBM X-Force安全团队的分析显示，CastleLoader的运营者通过类似恶意软件即服务（MaaS）的模式，支持多种恶意软件的快速交付和切换，如MonsterV2（Aurotun Stealer）和WARMCOOKIE（BadSpace），使其攻击再添变数及规模。CastleLoader在防御绕过方面同样造诣颇深，它融合了Dead Code注入、代码包装和混淆技术，结合反沙箱及反调试措施，最大化地延迟检测和分析的时间窗口。此外，利用PowerShell脚本自动化执行命令，避免了传统恶意文件直接运行所带来的风险，增加了攻击链的隐蔽性。此次感染事件中，CastleLoader攻击活动频繁，七个不同的C2服务器支撑着超过1600次感染尝试，感染率达到28.7%，共469台设备落入攻击者掌控，涵盖个人用户、软件开发者及企业环境，影响广泛。针对CastleLoader的攻击特点，安全专家建议加强对GitHub仓库真实性的核验，避免盲目运行未经验证的安装脚本。此外，加强对钓鱼攻击的意识培训，警惕网络搜索结果中的异常页面和强制执行操作提示，尤其是涉及PowerShell或命令行的操作请求。
企业应强化端点检测与响应（EDR）系统，对异常进程启动和网络通信进行实时监控。基于Signature及行为分析的多层防护机制亦不可或缺。值得强调的是，由于CastleLoader采用了多阶段、不停机的动态加载机制，传统依赖静态病毒特征码的防御模式效果有限，迫使安全防护朝向基于异常行为检测、人工智能分析和威胁情报共享迈进。通过持续分析CastleLoader及其衍生的恶意模块，安全厂商能够及时更新检测策略，阻断攻击链条。此外，网络环境应优化搜索引擎SEO策略，防止恶意域名借助搜索排名渠道扩散影响力。总的来看，CastleLoader恶意软件是网络安全生态中一个典型的高级持续性威胁载体，它充分结合了社会工程学、技术混淆和自动化指挥控制的最新趋势，对网络使用者提出了更高的防范要求。
面对CastleLoader的威胁，只有整合多层次安全防御体系，增强用户教育与技术监测，方能有效抵御该类载荷的侵害，保障个人及企业资产安全。眼下，针对CastleLoader的追踪与分析工作仍在持续推进，安全界呼吁共建信息共享平台，及时通报恶意行为动态，为构筑更坚固的网络防线贡献力量。
