Il team Vedere Labs di Forescout Research ha divulgato ROMULUS, una piattaforma di distribuzione di malware che usa pagine di destinazione false e istruzioni in stile ClickFix per convincere gli utenti a eseguire comandi malevoli sui propri computer.
Secondo il resoconto di The Hacker News sull'analisi di Vedere Labs, una catena di infezione ROMULUS osservata avvia PowerShell e alla fine installa Legion Loader, noto anche come Satacom downloader, CurlyGate e RobotDropper. Il loader contatta quindi un'infrastruttura remota per ottenere ed eseguire ulteriori payload.
ROMULUS è la piattaforma di distribuzione, mentre Legion Loader è il malware distribuito attraverso di essa. L'identità dell'operatore della piattaforma resta sconosciuta.
PowerShell prepara due percorsi di distribuzione alternativi
ROMULUS espone due endpoint che forniscono uno script PowerShell di staging. Dopo l'esecuzione, lo script seleziona uno dei due pacchetti della fase successiva:
- un installer MSI trojanizzato che contiene un loader malevolo;
- un archivio cifrato che contiene Legion Loader.
L'archivio cifrato viene riempito con dati ripetitivi fino a raggiungere quasi 1 GB. Vedere Labs ritiene che questo gonfiamento sia progettato per interferire con i controlli di sicurezza che impongono limiti alle dimensioni dei caricamenti, limitano il tempo di esecuzione in sandbox o applicano soglie durante l'analisi statica.
Una volta attivo, il loader recupera payload aggiuntivi da un server remoto. Il rapporto identifica Legion Loader nella catena osservata, ma non indica il malware successivo distribuito con quella fase finale.
L'attacco dipende dal fatto che la vittima segua le istruzioni presentate da una pagina ingannevole. Questa esecuzione avviata dall'utente conferisce a PowerShell un ruolo centrale nella catena e può far sembrare l'attività un'azione avviata localmente, anziché un normale eseguibile scaricato e lanciato direttamente dal browser.
Infrastruttura collegata alla piattaforma
I ricercatori hanno individuato sei indirizzi IP che ospitano l'infrastruttura di ROMULUS:
96.62.224[.]81
86.109.75[.]7
151.240.151[.]223
23.94.145[.]224
93.152.224[.]118
2.27.248[.]127
L'host 96.62.224[.]81 ha distribuito uno script ClickFix e un installer MSI associati a una campagna separata. In quell'operazione, GPT personalizzati di ChatGPT malevoli indirizzavano gli utenti a un URL fraudolento che mostrava l'esca ClickFix. Il rapporto non identifica l'operatore di quella campagna né ne descrive la portata.
L'indirizzo 86.109.75[.]7 ha distribuito lo stesso malware e ospitava un pannello di controllo che i ricercatori hanno denominato ROMULUS in codice.
Questi indicatori possono supportare ricerche retrospettive se conservati insieme ai ruoli riportati. Una corrispondenza da sola non stabilisce quale operatore sia responsabile di un evento, né se tutte le connessioni appartengano alla stessa campagna.
ROMULUS è distinto da RomulusLoader
Nonostante i nomi simili, i ricercatori non hanno riscontrato alcuna sovrapposizione tra ROMULUS e RomulusLoader. Quest'ultimo è una famiglia di malware distinta, associata nella fonte a Silver Fox, monitorato anche come TA4922.
Il ricercatore di Vedere Labs Sai Molige ha proposto diverse spiegazioni possibili per il modello operativo di ROMULUS: potrebbe trattarsi di un pannello controllato privatamente, di un servizio di distribuzione commerciale, di un framework per affiliati o di software condiviso o copiato tra operatori diversi. Si tratta di ipotesi e non di un'attribuzione a un attore di minaccia specifico.
Il rilevamento dovrebbe concentrarsi su esecuzione e sideloading
Vedere Labs raccomanda di cercare esecuzioni sospette di comandi PowerShell ed eventi di DLL sideloading. Per questa catena, i difensori possono esaminare questi segnali insieme all'infrastruttura segnalata, alla distribuzione di installer MSI o di archivi cifrati insolitamente grandi e alla successiva attività in uscita da un loader appena avviato.
I risultati mostrano come ClickFix possa funzionare come meccanismo di accesso iniziale ripetibile, anziché come un singolo messaggio ingannevole: la pagina di destinazione guida l'esecuzione da parte dell'utente, ROMULUS prepara il pacchetto scelto e Legion Loader apre la strada a ulteriori malware.
