安全 · 2026年10月23日
黑客利用新型 ROMULUS ClickFix 平台分发 LegionLoader 等恶意软件
网络安全研究人员已公开有关名为 ROMULUS 的 ClickFix 分发平台的细节，该平台用于传播 Legion Loader 等恶意软件。
研究人员指出，ROMULUS 类似于一种恶意软件分发服务，它利用 ClickFix 样式的诱骗页面在虚假登录页面上欺骗不设防的用户执行恶意命令，从而感染其设备。
"ROMULUS 可能是私人运营的面板、商业网络犯罪分发服务、联盟框架，或是被运营者复制的软件," 安全研究员 Sai Molige 在分析中表示。
该网络安全公司确认发现六个 IP 地址正在运行 ROMULUS。
值得注意的是，IP 地址 "96.62.224.81" 被确认为托管 ClickFix 脚本和 MSI 安装文件的服务器，并与另一起利用恶意 ChatGPT 自定义 GPT 引导受害者访问假网址的行动相关，该网址用于提供 ClickFix 诱骗。
Forescout 的进一步分析发现，相同的恶意软件也通过另一台服务器 86.109.75.7 分发，同样托管名为 ROMULUS 的面板。
此外，通过 ClickFix 触发的另一条链路执行 PowerShell 脚本，进而加载 Legion Loader，后者也被称为 Satacom 下载器、CurlyGate 和 RobotDropper。
截至撰写时，ROMULUS 平台的幕后人物尚未公开。但该平台与名为 RomulusLoader 的恶意软件家族不存在关联，后者与中国关联的威胁行为者 Silver Fox（别名 TA4922）相连，该组织曾多次利用税务相关话题分发远程访问木马（如 ValleyRAT、Winos 4.0、DcRAT 以及潜在的 Venom RAT）通过 DLL 副本加载技术实现感染。
ROMULUS 平台暴露了两个端点，用于下载 PowerShell 预处理脚本，脚本决定后续载荷的获取方式：一种是携带恶意软件加载器的捆绑 MSI 安装包，另一种是包含 Legion Loader 的加密压缩包，因重复填充近 1 GB 以规避上传限制、沙箱预算或静态分析阈值。
加载器会与远程服务器通信，获取并执行进一步的载荷。
研究表明，ClickFix 正在从单纯的社会工程手段演变为一种高效的恶意软件入口。为降低风险，必须监测可疑的 PowerShell 命令以及 DLL 副本加载事件。