Платформа ROMULUS превращает ClickFix в конвейер доставки вредоносного ПО

Специалисты Forescout Research — Vedere Labs обнародовали детали платформы ROMULUS, которую злоумышленники используют для распространения вредоносного ПО, в том числе загрузчика Legion Loader.

По описанию исследователей, ROMULUS работает как своеобразный сервис доставки: на поддельных посадочных страницах применяется приём ClickFix, который убеждает неосторожного пользователя собственноручно выполнить вредоносную команду и тем самым заразить свою машину. Чем именно является ROMULUS, пока не ясно: это может быть частная панель управления, коммерческий сервис киберпреступников, партнёрский фреймворк или просто ПО, скопированное одними операторами у других.

Шесть серверов и цепочка заражения

Forescout выявила шесть IP-адресов, на которых работает ROMULUS. Один из них, 96.62.224[.]81, ранее засветился в другой кампании: там ClickFix-приманку раздавали через поддельные пользовательские GPT в ChatGPT, направлявшие жертв на фальшивый URL. На другом сервере обнаружили ту же вредоносную нагрузку и панель с кодовым названием ROMULUS. Отдельная цепочка через ClickFix запускает PowerShell-скрипт, который доставляет Legion Loader — он же известен как Satacom downloader, CurlyGate и RobotDropper.

Платформа открывает два эндпоинта для загрузки промежуточного PowerShell-скрипта, который и решает, что подтянуть дальше: троянизированный MSI-установщик с загрузчиком или зашифрованный архив с Legion Loader. Любопытная деталь — архив искусственно раздут почти до 1 ГБ за счёт повторяющегося «балласта». Так авторы обходят ограничения на размер загрузки, бюджеты песочниц и пороги статического анализа. Сам загрузчик затем связывается с удалённым сервером и подтягивает дополнительные нагрузки.

Не путать с RomulusLoader

Кто стоит за ROMULUS, неизвестно. Исследователи отдельно подчёркивают, что платформа не пересекается с семейством RomulusLoader, которое связывают с прокитайской группировкой Silver Fox (она же TA4922), известной использованием «налоговых» предлогов для распространения троянов удалённого доступа.

Вывод Forescout: ClickFix перестаёт быть просто приёмом социальной инженерии и превращается в удобную точку входа для вредоносного ПО. Для защиты рекомендуется отслеживать подозрительные команды PowerShell и события подмены DLL.

Источник: The Hacker News