Hakerzy używają nowej platformy ROMULUS ClickFix do dystrybucji Legion Loader i innych złośliwych programów

Abstract flowing curves with blue and purple light reflections on a dark background — Milad Fakurian / Unsplash

Cyberbezpieczeństwo badaczy ujawniło szczegóły platformy dostarczania zwanej ROMULUS, która rozprzestrzenia malware takie jak Legion Loader.

Według Forescout Research - Vedere Labs ROMULUS przypomina usługę dystrybucji malware, która wykorzystuje ClickFix‑style podstępne strony docelowe, aby zmusić nieświadomych użytkowników do uruchamiania złośliwych poleceń.

"ROMULUS może być panelu prywatnie zarządzanym, komercyjną usługą cyberprzestępców, ramą afiliacyjną lub oprogramowaniem skopiowanym pomiędzy operatorami", powiedział badacz bezpieczeństwa Sai Molige w analizie.

Firma podkreśliła, że zidentyfikowała sześć adresów IP działających w ramach ROMULUS.

W szczególności adres "96.62.224[.]81" został wykryty jako hostujący skrypt ClickFix oraz plik instalatora MSI w ramach innej kampanii, w której wykorzystywano złośliwe ChatGPT Custom GPTs, aby skierować ofiary do fałszywego URL.

Dodatkowo Forescout odkryło, że ten sam malware jest rozprowadzany przez inny serwer, 86.109.75[.]7, który również hostował panel o nazwie ROMULUS.

Jedna z łańcuchów uruchamiana przez ClickFix uruchamia skrypt PowerShell, który pośrednio pobiera Legion Loader, znany także jako Satacom downloader, CurlyGate oraz RobotDropper.

Według analizy nie wiadomo, kto stoi za platformą ROMULUS, lecz nie wykazuje ona podobieństw do RomulusLoader, rodziny malware powiązanego z grupą Silver Fox (aka TA4922).

Platforma ROMULUS udostępnia dwa końce, które pobierają skrypt PowerShell, decydując o następnym ładunku: zainfekowany instalator MSI lub zaszyfrowany archiwum zawierający Legion Loader.

Wskazują na to badania, które pokazują, że ClickFix przekształca się w skuteczny punkt wejścia dla malware.

Aby zminimalizować zagrożenie, zaleca się poszukiwanie podejrzanych poleceń PowerShell oraz zdarzeń związanych z DLL sideloading.