นักวิจัยเปิดเผยแพลตฟอร์ม ClickFix ใหม่ ROMULUS แจกจ่ายมัลแวร์ Legion Loader

ผู้วิจัย Sai Molige ระบุว่า ROMULUS อาจเป็นแพลตฟอร์มที่ดำเนินการโดยส่วนตัว หรือเป็นบริการเชิงพาณิชย์สำหรับการส่งมอบมัลแวร์ หรือเป็นเฟรมเวิร์กแอฟฟิลิเอท หรือซอฟต์แวร์ที่ถูกคัดลอกระหว่างผู้ปฏิบัติงาน

บริษัทความปลอดภัยได้ระบุว่า IP หกที่อยู่กำลังทำงานอยู่บน ROMULUS โดยเฉพาะ IP "96.62.224.81" ถูกตรวจพบว่าโฮสต์สคริปต์ ClickFix และไฟล์ MSI ติดตั้งที่เป็นอันตรายในแคมเปญอื่นที่ใช้ Custom GPT ของ ChatGPT ปลอมเพื่อนำผู้เสียหายไปยัง URL ปลอมที่ให้บริการการล่อลวง

การวิเคราะห์ของ Forescout พบว่าโหลดเดอร์มัลแวร์เดียวกันถูกส่งผ่านเซิร์ฟเวอร์อื่นคือ 86.109.75.7 ซึ่งยังโฮสต์แพลตฟอร์มที่ใช้ชื่อ ROMULUS

อีกหนึ่งห่วงโซ่ที่ถูกกระตุ้นผ่าน ClickFix ใช้สคริปต์ PowerShell เพื่อส่ง Legion Loader ซึ่งยังรู้จักกันในชื่อ Satacom downloader, CurlyGate และ RobotDropper

ยังไม่ชัดเจนว่าใครเป็นผู้อยู่เบื้องหลังแพลตฟอร์ม ROMULUS แต่ไม่มีการทับซ้อนกับ RomulusLoader ซึ่งเป็นครอบครัวมัลแวร์ที่เกี่ยวข้องกับ Silver Fox (aka TA4922) ที่เชื่อมโยงกับภัยคุกคามจากจีน

แพลตฟอร์ม ROMULUS มีสองจุดปลายทางหลักที่ดาวน์โหลดสคริปต์ PowerShell เพื่อตัดสินใจเลือก payload ที่จะดึงมาต่อไปนี้ คือ ไฟล์ MSI ที่ถูกแทรกมัลแวร์ หรืออาร์ไชฟ์ที่เข้ารหัสซึ่งบรรจุ Legion Loader ขยายขนาดใกล้ 1 GB ด้วยการเติมข้อมูลซ้ำเพื่อหลีกเลี่ยงข้อจำกัดการอัปโหลดหรือขอบเขตการวิเคราะห์

การวิจัยชี้ให้เห็นว่า ClickFix กำลังพัฒนาเป็นช่องทางสำคัญสำหรับการเริ่มต้นของมัลแวร์ เพื่อลดความเสี่ยง ควรสังเกตคำสั่ง PowerShell ที่น่าสงสัยและเหตุการณ์การโหลด DLL แบบ side‑loading