ROMULUS: o platformă ClickFix creată pentru a distribui Legion Loader și alte programe malware

ClickFix nu mai pare doar un truc izolat de inginerie socială. Devine infrastructură. Cercetătorii au documentat ROMULUS, o platformă de livrare administrată dintr-un panou de control. Platforma găzduiește pagini ClickFix false, convinge vizitatorul să lipească și să ruleze o comandă, apoi decide ce malware îi trimite. Una dintre încărcături este Legion Loader, un loader cunoscut și ca Satacom downloader, CurlyGate sau RobotDropper.

Ce s-a întâmplat

ROMULUS funcționează ca un mic serviciu de livrare de malware. Fiecare server rulează aceeași pagină de autentificare și aceeași schemă de rutare, cu căi bazate pe token-uri, de forma /s/<token> și /app/<token>. Victima ajunge la momeala ClickFix, de obicei un mesaj fals de „verificare” sau „reparare”, și rulează pe propriul calculator comanda pe care a lipit-o. Comanda descarcă un script PowerShell intermediar. Scriptul alege etapa următoare: fie un installer MSI troianizat care conține un loader, fie o arhivă criptată cu Legion Loader. După ce pornește, loader-ul contactează un server la distanță ca să descarce și să ruleze alte componente.

Cercetătorii au găsit ROMULUS pe șase adrese IP (dezamorsate):

• 96.62.224[.]81
• 86.109.75[.]7
• 151.240.151[.]223
• 23.94.145[.]224
• 93.152.224[.]118
• 2.27.248[.]127

Una dintre ele, 96.62.224[.]81, mai apăruse într-o campanie anterioară. Acea campanie folosea ChatGPT Custom GPTs malițioase ca să trimită oamenii către un URL fals care servea momeala ClickFix. Două dintre servere au livrat aceeași încărcătură (un pachet bazat pe Stardock DeElevation), ceea ce sugerează un singur operator sau un set comun de instrumente.

Nu se știe încă cine operează platforma. Cercetătorii spun că ROMULUS poate fi un panou privat, un serviciu comercial de criminalitate cibernetică, un cadru pentru afiliați sau un software copiat între operatori. Nu are legături cu malware-ul RomulusLoader, cu nume asemănător, asociat grupului Silver Fox (TA4922), aliniat Chinei. Nu atribuim platforma niciunui actor.

De ce contează

• Utilizatorul face pasul decisiv în locul atacatorului. ClickFix ocolește multe filtre de e-mail și de descărcare, pentru că victima lipește și rulează singură comanda. Adesea nu există niciun atașament sau exploit care să fie detectat.
• Livrarea ca serviciu se extinde ușor. Un panou care direcționează vizitatorii către încărcături diferite permite ca aceeași pagină-momeală să servească multe campanii și multe familii de malware. Operatorii pot schimba rapid încărcătura.
• Loader-ele deschid ușa. Rolul lui Legion Loader este să aducă ce urmează: stealere, mineri de criptomonede sau instrumente de acces la distanță. O singură comandă lipită poate duce la o compromitere mult mai mare.

Ce trebuie făcut

1. Căutați PowerShell suspect. Urmăriți comenzile codate sau de tip „descarcă și execută” pornite din explorer.exe sau din fereastra Run (RunMRU), precum și PowerShell care descarcă fișiere MSI sau arhive direct de pe adrese IP.
2. Monitorizați DLL sideloading. Setați alerte pentru binare semnate care încarcă DLL-uri nesemnate din foldere unde utilizatorul poate scrie, o metodă frecventă prin care loader-ele rămân pe sistem.
3. Restricționați rularea scripturilor și a installerelor. Folosiți Constrained Language Mode, politici AppLocker/WDAC și blocați posibilitatea ca msiexec să descarce pachete de la distanță pentru utilizatorii obișnuiți.
4. Blocați IOC-urile și verificați istoricul. Adăugați IP-urile de mai sus în listele de blocare și căutați în jurnalele proxy, DNS și EDR orice contact anterior cu ele.
5. Instruiți oamenii pe exact această momeală. Spuneți-le clar angajaților că niciun site, CAPTCHA sau „reparație” legitimă nu le va cere vreodată să lipească o comandă în Run, PowerShell sau terminal.

Campaniile ClickFix își schimbă rapid încărcăturile, așa că merită să verificați dacă protecțiile voastre opresc într-adevăr o comandă lipită, înainte să încerce un atacator. Echipa noastră de testare de penetrare simulează aceste lanțuri de execuție declanșate de utilizator și arată unde controalele pentru PowerShell, MSI și sideloading funcționează și unde cedează.

Credit: pe baza cercetării Forescout Research – Vedere Labs, relatată de The Hacker News (20 oct. 2026).