Peretas Gunakan Platform ROMULUS ClickFix untuk Mengirim LegionLoader dan Malware Lainnya

a bunch of wires and wires in a room — Ivan N / Unsplash

Peneliti keamanan siber telah mengungkap rincian tentang platform pengiriman ClickFix yang disebut ROMULUS yang digunakan untuk menyebarkan malware seperti Legion Loader.

Menurut Forescout Research - Vedere Labs, ROMULUS mirip dengan layanan pengiriman malware yang menggunakan daya tarik gaya ClickFix di halaman pendaratan palsu untuk menipu pengguna yang tidak curiga agar menjalankan perintah berbahaya dan menginfeksi mesin mereka sendiri.

"ROMULUS mungkin merupakan panel yang dioperasikan secara pribadi, layanan pengiriman siber kriminal komersial, kerangka afiliasi, atau perangkat lunak yang telah disalin di antara operator," kata peneliti keamanan Sai Molige dalam analisisnya.

Perusahaan keamanan siber tersebut mengatakan telah mengidentifikasi enam alamat IP yang menjalankan ROMULUS. Secara khusus, alamat IP "96.62.224[.]81" diidentifikasi sebagai penyelenggara skrip ClickFix dan file penginstal MSI yang terkait dengan kampanye lain yang ditemukan memanfaatkan ChatGPT Custom GPT berbahaya untuk mengarahkan korban ke URL palsu yang bertanggung jawab untuk menyajikan daya tarik ClickFix.

Analisis Forescout telah mengungkapkan malware yang sama disampaikan melalui server lain, 86.109.75[.]7, yang juga menyelenggarakan panel bernama ROMULUS. Selain itu, rantai terpisah yang dipicu melalui ClickFix telah digunakan untuk menjalankan skrip PowerShell, yang kemudian mengirim Legion Loader, pengunduh malware yang juga disebut Satacom downloader, CurlyGate, dan RobotDropper.

Hingga saat ini, belum diketahui siapa yang berada di balik platform ROMULUS. Namun, tidak ada tumpang tindih dengan RomulusLoader, keluarga malware yang terkait dengan Silver Fox (alias TA4922), aktor ancaman yang terhubung dengan China yang dikenal sering menggunakan alasan terkait pajak untuk menyebarkan trojan akses jarak jauh.