Beveiliging · 22 oktober 2026
Nieuw ROMULUS-platform verspreidt LegionLoader via ClickFix-misleiding
Cybersecurityonderzoekers hebben details openbaar gemaakt over een nieuw malwareleveringsplatform genaamd ROMULUS dat wordt gebruikt om schadelijke software zoals Legion Loader te verspreiden. Dit systeem maakt gebruik van valse landingspagina's om nietsvermoedende gebruikers ertoe aan te zetten kwaadaardige opdrachten op hun eigen apparaten uit te voeren.
Volgens Forescout Research - Vedere Labs functioneert ROMULUS als een dienst die ClickFix-stijl lokmiddelen inzet. De onderzoekers identificeerden zes IP-adressen die dit platform draaien. Eén specifiek adres hostte een script en een MSI-installatiebestand in verband met een campagne die kwaadaardige aangepaste ChatGPT-modellen gebruikte om slachtoffers naar een nep-URL te leiden. Een andere server bleek eveneens een panel met de codenaam ROMULUS te hosten en leverde dezelfde malware.
De aanvalsketen activeert via ClickFix een PowerShell-script dat vervolgens Legion Loader bezorgt. Deze malwarelader staat ook bekend onder de namen Satacom downloader, CurlyGate en RobotDropper. Het platform biedt twee eindpunten om een PowerShell-faseringsscript te downloaden. Dit script bepaalt welke lading vervolgens wordt opgehaald: een getrojaniseerd MSI-installatieprogramma of een versleuteld archief.
Het versleutelde archief bevat Legion Loader en is opgeblazen tot bijna 1 gigabyte met repetitieve opvulling. Deze techniek dient om uploadlimieten, sandboxbegrotingen of drempels voor statische analyse te omzeilen. De lader communiceert daarna met een externe server om extra ladingen op te halen en uit te voeren.
De identiteit van de operatoren achter ROMULUS is op dit moment niet bekend. Er zijn geen overlappingen met RomulusLoader, een malwarefamilie die wordt geassocieerd met de dreigingsacteur Silver Fox. Deze actor staat bekend om het gebruik van belastinggerelateerde voorwendsels. De bevindingen tonen aan dat ClickFix evolueert van een sociale-techniek naar een hoogst effectief toegangspunt voor malware. Mitigatie vereist het opsporen van verdachte PowerShell-opdrachten en gebeurtenissen rondom DLL-zijdelings laden.