Sicurezza · 22 ottobre 2026
Pubblicato anche in Русский, Nederlands
Hacker utilizzano la nuova piattaforma ROMULUS ClickFix per distribuire LegionLoader e altri malware
I ricercatori di cybersecurity hanno rivelato i dettagli di una piattaforma di distribuzione chiamata ROMULUS, utilizzata per diffondere malware come Legion Loader.
Secondo Forescout Research - Vedere Labs, ROMULUS funziona come un servizio di consegna di malware che impiega esche in stile ClickFix su pagine di destinazione false. Questo sistema inganna gli utenti ignari spingendoli a eseguire comandi dannosi e a infettare i propri computer.
L'analisi indica che ROMULUS potrebbe essere un pannello gestito privatamente, un servizio commerciale di criminali informatici, un framework di affiliazione o un software copiato tra operatori. L'azienda di cybersecurity ha identificato sei indirizzi IP che eseguono ROMULUS.
L'indirizzo IP 96.62.224[.]81 è stato identificato mentre ospitava uno script ClickFix e un file di installazione MSI legati a una campagna che sfrutta GPT personalizzati di ChatGPT per indirizzare le vittime verso un URL falso. Altri server, come l'86.109.75[.]7, hanno ospitato lo stesso malware e un pannello con il nome in codice ROMULUS. Una catena separata attivata tramite ClickFix ha eseguito uno script PowerShell per distribuire Legion Loader, noto anche come Satacom downloader, CurlyGate e RobotDropper.
La piattaforma ROMULUS espone due endpoint per scaricare uno script di staging PowerShell. Questo script decide se recuperare un installer MSI trojanizzato con un loader di malware o un archivio crittografato contenente Legion Loader, gonfiato fino a quasi 1 GB con riempitivi ripetitivi per superare i limiti di caricamento, i budget delle sandbox o le soglie di analisi statica. Il loader comunica poi con un server remoto per eseguire ulteriori payload.
Non è noto chi sia dietro la piattaforma ROMULUS, ma non presenta sovrapposizioni con RomulusLoader, una famiglia di malware associata a Silver Fox.