Die Abteilung Vedere Labs von Forescout Research hat ROMULUS offengelegt, eine Plattform zur Verteilung von Schadsoftware. Sie nutzt gefälschte Landingpages und Anweisungen im ClickFix-Stil, um Nutzer dazu zu bringen, schädliche Befehle auf ihren eigenen Computern auszuführen.
Laut dem Bericht von The Hacker News über die Analyse von Vedere Labs startet eine beobachtete ROMULUS-Infektionskette PowerShell und installiert am Ende Legion Loader, der auch als Satacom-Downloader, CurlyGate und RobotDropper bekannt ist. Der Loader kontaktiert dann entfernte Infrastruktur, um weitere Payloads abzurufen und auszuführen.
ROMULUS ist die Auslieferungsplattform, Legion Loader ist die Schadsoftware, die darüber verteilt wird. Wer hinter der Plattform steckt, ist nach wie vor unbekannt.
PowerShell stellt zwei alternative Auslieferungswege bereit
ROMULUS stellt zwei Endpunkte bereit, die ein PowerShell-Staging-Skript liefern. Nach der Ausführung wählt das Skript eines von zwei Paketen für die nächste Stufe aus:
- einen manipulierten MSI-Installer, der einen Malware-Loader enthält;
- ein verschlüsseltes Archiv, das Legion Loader enthält.
Das verschlüsselte Archiv wird mit repetitiven Daten aufgefüllt, bis es fast 1 GB groß ist. Vedere Labs schätzt ein, dass diese Aufblähung darauf ausgelegt ist, Sicherheitskontrollen zu stören, die Upload-Größen begrenzen, die Ausführungszeit in der Sandbox beschränken oder bei der statischen Analyse mit Schwellenwerten arbeiten.
Sobald der Loader aktiv ist, lädt er zusätzliche Payloads von einem entfernten Server nach. Der Bericht identifiziert Legion Loader in der beobachteten Kette, nennt aber nicht die Schadsoftware, die in dieser letzten Stufe nachgeladen wird.
Der Angriff hängt davon ab, dass das Opfer den Anweisungen einer täuschenden Seite folgt. Diese vom Nutzer ausgelöste Ausführung gibt PowerShell eine zentrale Rolle in der Kette und kann dazu führen, dass die Aktivität eher wie eine lokal gestartete Aktion wirkt als wie eine klassische, direkt aus dem Browser gestartete heruntergeladene ausführbare Datei.
Infrastruktur, die mit der Plattform verknüpft ist
Die Forscher identifizierten sechs IP-Adressen, die ROMULUS-Infrastruktur betreiben:
96.62.224[.]81
86.109.75[.]7
151.240.151[.]223
23.94.145[.]224
93.152.224[.]118
2.27.248[.]127
Der Host unter 96.62.224[.]81 lieferte ein ClickFix-Skript und einen MSI-Installer, die einer separaten Kampagne zugeordnet werden. Bei dieser Operation leiteten bösartige ChatGPT Custom GPTs Nutzer auf eine betrügerische URL, die den ClickFix-Köder anzeigte. Der Bericht nennt weder den Betreiber dieser Kampagne noch beschreibt er deren Umfang.
Die Adresse 86.109.75[.]7 lieferte dieselbe Schadsoftware und hostete ein Kontrollpanel, das die Forscher mit dem Codenamen ROMULUS versahen.
Diese Indikatoren können nachträgliche Suchen unterstützen, wenn sie zusammen mit ihrer gemeldeten Rolle festgehalten werden. Ein Treffer allein belegt jedoch nicht, welcher Betreiber für ein Ereignis verantwortlich war, und auch nicht, ob alle Verbindungen zur selben Kampagne gehören.
ROMULUS ist nicht identisch mit RomulusLoader
Trotz der ähnlichen Namen berichteten die Forscher von keiner Überschneidung zwischen ROMULUS und RomulusLoader. Letzterer ist eine eigenständige Malware-Familie, die laut Quelle mit Silver Fox in Verbindung steht, die auch als TA4922 geführt wird.
Sai Molige, Forscher bei Vedere Labs, nannte mehrere mögliche Erklärungen für das Betriebsmodell von ROMULUS: Es könnte ein privat kontrolliertes Panel sein, ein kommerzieller Auslieferungsdienst, ein Affiliate-Framework oder eine Software, die zwischen verschiedenen Betreibern geteilt oder kopiert wird. Dabei handelt es sich um Einschätzungen und nicht um eine Zuordnung zu einem benannten Bedrohungsakteur.
Die Erkennung sollte sich auf Ausführung und Sideloading konzentrieren
Vedere Labs empfiehlt, gezielt nach verdächtiger PowerShell-Ausführung und DLL-Sideloading-Ereignissen zu suchen. Für diese Kette können Verteidiger diese Signale zusammen mit der gemeldeten Infrastruktur, der Auslieferung per MSI oder ungewöhnlich großen verschlüsselten Archiven und der anschließenden ausgehenden Aktivität eines neu gestarteten Loaders prüfen.
Die Erkenntnisse zeigen, dass ClickFix als wiederholbarer Mechanismus für den initialen Zugriff funktionieren kann und nicht nur als einzelne täuschende Aufforderung: Die Landingpage steuert die Ausführung durch den Nutzer, ROMULUS stellt das gewählte Paket bereit, und Legion Loader öffnet den Weg für weitere Schadsoftware.
