---
title: Hacker utilizzano la nuova piattaforma ROMULUS ClickFix per distribuire LegionLoader e altri malware
url: https://www.dataloco.com/it/hacker-utilizzano-la-nuova-piattaforma-romulus-clickfix-per-distribuire-legionloader-e-altri-malware
published: 2026-10-22T14:26:00+00:00
language: it
section: Sicurezza
source: https://thehackernews.com/2026/10/romulus-clickfix-platform-tricks-users.html
organizations: Forescout, Vedere Labs
publisher: Dataloco
---

# Hacker utilizzano la nuova piattaforma ROMULUS ClickFix per distribuire LegionLoader e altri malware

I ricercatori di cybersecurity hanno rivelato i dettagli di una piattaforma di distribuzione chiamata ROMULUS, utilizzata per diffondere malware come Legion Loader.

Secondo Forescout Research - Vedere Labs, ROMULUS funziona come un servizio di consegna di malware che impiega esche in stile ClickFix su pagine di destinazione false. Questo sistema inganna gli utenti ignari spingendoli a eseguire comandi dannosi e a infettare i propri computer.

L'analisi indica che ROMULUS potrebbe essere un pannello gestito privatamente, un servizio commerciale di criminali informatici, un framework di affiliazione o un software copiato tra operatori. L'azienda di cybersecurity ha identificato sei indirizzi IP che eseguono ROMULUS.

L'indirizzo IP 96.62.224[.]81 è stato identificato mentre ospitava uno script ClickFix e un file di installazione MSI legati a una campagna che sfrutta GPT personalizzati di ChatGPT per indirizzare le vittime verso un URL falso. Altri server, come l'86.109.75[.]7, hanno ospitato lo stesso malware e un pannello con il nome in codice ROMULUS. Una catena separata attivata tramite ClickFix ha eseguito uno script PowerShell per distribuire Legion Loader, noto anche come Satacom downloader, CurlyGate e RobotDropper.

La piattaforma ROMULUS espone due endpoint per scaricare uno script di staging PowerShell. Questo script decide se recuperare un installer MSI trojanizzato con un loader di malware o un archivio crittografato contenente Legion Loader, gonfiato fino a quasi 1 GB con riempitivi ripetitivi per superare i limiti di caricamento, i budget delle sandbox o le soglie di analisi statica. Il loader comunica poi con un server remoto per eseguire ulteriori payload.

Non è noto chi sia dietro la piattaforma ROMULUS, ma non presenta sovrapposizioni con RomulusLoader, una famiglia di malware associata a Silver Fox.

## This story in other languages

- [Русский](https://www.dataloco.com/ru/xakery-ispolzuiut-novuiu-platformu-romulus-clickfix-dlia-rasprostraneniia-vredonosnogo-po)
- [Nederlands](https://www.dataloco.com/nl/nieuw-romulus-platform-verspreidt-legionloader-via-clickfix-misleiding)
- [Polski](https://www.dataloco.com/pl/hakerzy-uzywaja-nowej-platformy-romulus-clickfix-do-dystrybucji-legion-loader-i-innych-zlosliwych-programow)