Безопасность · 22 октября 2026 г.
Также опубликовано на Italiano, Nederlands
Хакеры используют новую платформу ROMULUS ClickFix для распространения вредоносного ПО
Кибербезопасные исследователи раскрыли детали платформы доставки ClickFix, названной ROMULUS, которая применяется для распространения вредоносного ПО, включая вредоносный загрузчик Legion Loader.
Согласно анализу Forescout Research - Vedere Labs, ROMULUS подобен сервису доставки вредоносного ПО, который использует ухищрения ClickFix на ложных страницах входа, чтобы обмануть неподозревающих пользователей и заставить их запускать вредоносные команды.
"ROMULUS может представлять собой закрытую панель, коммерческий сервис доставки киберпреступников, фреймворк для аффилиатов или скопированное программное обеспечение между операторами,", сказал исследователь безопасности Сай Молиг.
Компания обнаружила шесть IP‑адресов, на которых работает ROMULUS.
Особое внимание привлекла IP‑адрес "96.62.224[.]81", где размещён ClickFix‑скрипт и установщик MSI в рамках кампании, использующей вредоносные ChatGPT‑пользовательские модели для перенаправления жертв на фиктивный URL, обслуживающий ухищрение ClickFix.
В дополнение к этому, Forescout выявил аналогичную активность на сервере 86.109.75[.]7, где также размещён панельный код ROMULUS.
В рамках другой цепочки ClickFix запущен PowerShell‑скрипт, который доставляет Legion Loader, также известный как Satacom‑downloader, CurlyGate и RobotDropper.
На текущий момент неизвестно, кто стоит за платформой ROMULUS, однако она не имеет общих характеристик с RomulusLoader, семейством вредоносного ПО, связанным с группировкой Silver Fox (aka TA4922), связанной с Китаем, которая часто использует налоговые предлоги для распространения удалённых троянов.
Платформа ROMULUS предоставляет два эндпоинта для загрузки PowerShell‑скрипта, который выбирает дальнейший пакет: троянизированный MSI‑установщик, содержащий загрузчик вредоносного ПО, или зашифрованный архив с Legion Loader, увеличенный до почти 1 ГБ за счёт повторяющегося паддинга, чтобы обойти ограничения загрузки, бюджеты песочниц или пороги статического анализа.
Исследования показывают, как ClickFix превращается в эффективный входной пункт для вредоносного ПО, поэтому необходимо отслеживать подозрительные команды PowerShell и события с загрузкой DLL.
Для снижения угрозы рекомендуется проводить поиск подозрительных команд PowerShell и событий с загрузкой DLL.