Vedere Labs, de Forescout Research, ha dado a conocer ROMULUS, una plataforma de distribución de malware que utiliza páginas de destino falsas e instrucciones al estilo ClickFix para persuadir a los usuarios de ejecutar comandos maliciosos en sus propios equipos.
Según El relato de The Hacker News sobre el análisis de Vedere Labs, una cadena de infección de ROMULUS observada lanza PowerShell y, al final, instala Legion Loader, también conocido como downloader Satacom, CurlyGate y RobotDropper. El loader contacta después con infraestructura remota para obtener y ejecutar cargas adicionales.
ROMULUS es la plataforma de distribución, mientras que Legion Loader es el malware que se distribuye a través de ella. Se desconoce la identidad del operador de la plataforma.
PowerShell gestiona dos rutas de entrega alternativas
ROMULUS expone dos puntos de acceso que proporcionan un script de preparación en PowerShell. Tras su ejecución, el script selecciona uno de dos paquetes de la siguiente fase:
- un instalador MSI troyanizado que contiene un loader de malware;
- un archivo cifrado que contiene Legion Loader.
El archivo cifrado se rellena con datos repetitivos hasta acercarse a 1 GB. Vedere Labs considera que este inflado está diseñado para interferir con los controles de seguridad que imponen límites de tamaño de subida, restringen el tiempo de ejecución en sandbox o aplican umbrales durante el análisis estático.
Una vez activo, el loader recupera cargas adicionales de un servidor remoto. El informe identifica Legion Loader en la cadena observada, pero no nombra el malware posterior que se entrega en esa última fase.
El ataque depende de que la víctima siga las instrucciones que muestra una página engañosa. Esa ejecución iniciada por el usuario otorga a PowerShell un papel central en la cadena y puede hacer que la actividad parezca una acción iniciada localmente, en lugar de un ejecutable descargado de forma convencional y lanzado directamente desde el navegador.
Infraestructura vinculada a la plataforma
Los investigadores identificaron seis direcciones IP que alojan la infraestructura de ROMULUS:
96.62.224[.]81
86.109.75[.]7
151.240.151[.]223
23.94.145[.]224
93.152.224[.]118
2.27.248[.]127
El host en 96.62.224[.]81 servía un script ClickFix y un instalador MSI asociados a una campaña distinta. En esa operación, GPT personalizados de ChatGPT maliciosos dirigían a los usuarios a una URL fraudulenta que mostraba el señuelo ClickFix. El informe no identifica al operador de esa campaña ni describe su alcance.
La dirección 86.109.75[.]7 distribuía el mismo malware y alojaba un panel de control que los investigadores denominaron ROMULUS en clave.
Estos indicadores pueden servir para búsquedas retrospectivas si se conservan junto con los roles que se les atribuyen en el informe. Una coincidencia por sí sola no establece qué operador fue responsable de un evento ni si todas las conexiones pertenecen a la misma campaña.
ROMULUS es distinto de RomulusLoader
Pese a los nombres similares, los investigadores no informaron de ninguna superposición entre ROMULUS y RomulusLoader. Esta última es una familia de malware independiente que, según la fuente, está asociada a Silver Fox, también conocido como TA4922.
El investigador de Vedere Labs Sai Molige ofreció varias explicaciones posibles para el modelo operativo de ROMULUS: podría tratarse de un panel de control de uso privado, de un servicio comercial de distribución, de un marco de afiliados o de software compartido o copiado entre distintos operadores. Son valoraciones y no una atribución a un actor de amenazas identificado.
La detección debe centrarse en la ejecución y el sideloading de DLL
Vedere Labs recomienda buscar eventos sospechosos de ejecución de comandos de PowerShell y de sideloading de DLL. En esta cadena, los defensores pueden examinar esas señales junto con la infraestructura informada, la entrega de MSI o de archivos cifrados inusualmente grandes y la actividad de salida posterior desde un loader recién lanzado.
Los hallazgos muestran cómo ClickFix puede funcionar como un mecanismo de acceso inicial repetible y no como un único mensaje engañoso: la página de destino induce la ejecución por parte del usuario, ROMULUS prepara el paquete elegido y Legion Loader abre el camino para malware adicional.
