Les chercheurs de Vedere Labs, de Forescout Research, ont révélé ROMULUS, une plateforme de distribution de logiciels malveillants qui s'appuie sur de fausses pages d'accueil et des instructions de type ClickFix pour inciter les utilisateurs à exécuter des commandes malveillantes sur leur propre ordinateur.
Selon le compte rendu de The Hacker News sur l'analyse de Vedere Labs, une chaîne d'infection ROMULUS observée lance PowerShell et installe finalement Legion Loader, également appelé Satacom downloader, CurlyGate ou RobotDropper. Le loader contacte ensuite une infrastructure distante pour obtenir et exécuter d'autres charges utiles.
ROMULUS est la plateforme de distribution, tandis que Legion Loader est le logiciel malveillant diffusé par son intermédiaire. L'identité de l'opérateur de la plateforme reste inconnue.
PowerShell déclenche deux voies de livraison alternatives
ROMULUS expose deux points d'accès qui fournissent un script de préparation PowerShell. Après son exécution, le script sélectionne l'un de deux paquets de l'étape suivante :
- un installateur MSI piégé contenant un loader malveillant ;
- une archive chiffrée contenant Legion Loader.
L'archive chiffrée est remplie de données répétitives jusqu'à approcher 1 Go. Vedere Labs estime que ce gonflement vise à contourner les contrôles de sécurité qui imposent des limites de taille à l'envoi, restreignent la durée d'exécution en bac à sable ou appliquent des seuils lors de l'analyse statique.
Une fois actif, le loader récupère des charges utiles supplémentaires depuis un serveur distant. Le rapport identifie Legion Loader dans la chaîne observée, mais ne nomme pas le logiciel malveillant livré ensuite lors de cette dernière étape.
L'attaque repose sur le fait que la victime suit les instructions affichées par une page trompeuse. Cette exécution déclenchée par l'utilisateur donne à PowerShell un rôle central dans la chaîne et peut faire ressembler l'activité à une action lancée localement, plutôt qu'à un exécutable téléchargé classique et lancé directement depuis le navigateur.
Infrastructure liée à la plateforme
Les chercheurs ont identifié six adresses IP qui hébergent l'infrastructure de ROMULUS :
96.62.224[.]81
86.109.75[.]7
151.240.151[.]223
23.94.145[.]224
93.152.224[.]118
2.27.248[.]127
L'hôte à l'adresse 96.62.224[.]81 servait un script ClickFix et un installateur MSI associés à une campagne distincte. Dans cette opération, des GPT personnalisés ChatGPT malveillants redirigeaient les utilisateurs vers une URL frauduleuse qui affichait le leurre ClickFix. Le rapport n'identifie pas l'opérateur de cette campagne et n'en décrit pas l'ampleur.
L'adresse 86.109.75[.]7 a distribué le même logiciel malveillant et hébergeait un panneau de contrôle que les chercheurs ont désigné sous le nom de code ROMULUS.
Ces indicateurs peuvent servir à des recherches rétrospectives, à condition d'être conservés avec leur rôle signalé. Une correspondance seule ne permet pas d'établir quel opérateur est responsable d'un événement, ni si toutes les connexions appartiennent à la même campagne.
ROMULUS est distinct de RomulusLoader
Malgré leurs noms proches, les chercheurs n'ont relevé aucun lien entre ROMULUS et RomulusLoader. Cette dernière est une famille de logiciels malveillants distincte, associée dans la source à Silver Fox, également suivi sous le nom de TA4922.
Le chercheur de Vedere Labs Sai Molige a avancé plusieurs explications possibles au modèle de fonctionnement de ROMULUS : il pourrait s'agir d'un panneau contrôlé en privé, d'un service de distribution commercial, d'un cadre d'affiliation ou d'un logiciel partagé ou copié entre différents opérateurs. Ce sont des hypothèses, et non une attribution à un acteur de menace identifié.
La détection doit se concentrer sur l'exécution et le sideloading
Vedere Labs recommande de rechercher les exécutions suspectes de commandes PowerShell et les événements de DLL sideloading. Pour cette chaîne, les défenseurs peuvent examiner ces signaux, ainsi que l'infrastructure signalée, les livraisons de MSI ou d'archives chiffrées anormalement volumineuses, et l'activité sortante qui suit le lancement d'un nouveau loader.
Ces résultats montrent comment ClickFix peut fonctionner comme un mécanisme d'accès initial reproductible, et non comme une simple invite trompeuse : la page d'accueil pousse l'utilisateur à exécuter la commande, ROMULUS prépare le paquet choisi, et Legion Loader ouvre la voie à d'autres logiciels malveillants.
