黑客利用新型 ROMULUS ClickFix 平台投递 LegionLoader 及其他恶意软件

网络安全研究人员披露了一个名为 ROMULUS 的 ClickFix 投递平台的细节，该平台被用于分发 Legion Loader 等恶意软件。

根据 Forescout Research - Vedere Labs 的说法，ROMULUS 类似于一种恶意软件投递服务，在虚假着陆页上采用 ClickFix 风格的诱饵，诱骗毫无戒心的用户运行恶意命令并感染自己的机器。

"ROMULUS 可能是一个私人运营的面板、一项商业网络犯罪投递服务、一个附属框架，或是在运营者之间复制的软件，"安全研究员 Sai Molige 在分析中表示。

这家网络安全公司表示，其发现了六个运行 ROMULUS 的 IP 地址——

• 96.62.224[.]81
• 86.109.75[.]7
• 151.240.151[.]223
• 23.94.145[.]224
• 93.152.224[.]118
• 2.27.248[.]127

值得注意的是，IP 地址"96.62.224[.]81"被发现在另一场攻击活动中托管了一个 ClickFix 脚本和一个 MSI 安装文件，该活动被发现利用恶意 ChatGPT Custom GPTs 将受害者引导至负责提供 ClickFix 诱饵的虚假 URL。

Forescout 自身的分析随后发现，同样的恶意软件通过另一台服务器 86.109.75[.]7 进行投递，该服务器还托管了一个代号为 ROMULUS 的面板。此外，一条由 ClickFix 触发的独立攻击链被用于运行 PowerShell 脚本，进而投递 Legion Loader——一种恶意软件加载器，也被称为 Satacom downloader、CurlyGate 和 RobotDropper。

截至撰写本文时，尚不清楚 ROMULUS 平台背后的运营者是谁。不过，它与 RomulusLoader 没有重叠——RomulusLoader 是一个与 Silver Fox（又称 TA4922）相关联的恶意软件家族，Silver Fox 是一个与中国结盟的威胁行为者，以反复利用税务相关借口通过 DLL 侧加载技术分发 ValleyRAT（又称 Winos 4.0）、DcRAT 以及可能是 Venom RAT 等远程访问木马而闻名。

ROMULUS 平台暴露了两个端点，旨在下载 PowerShell 预备脚本，由其决定接下来获取的载荷：携带恶意软件加载器的木马化 MSI 安装文件，或包含 Legion Loader 的加密压缩包——后者通过重复填充膨胀至接近 1 GB，以绕过上传限制、沙箱预算或静态分析阈值。而加载器则与远程服务器通信以获取并运行更多载荷。

这些发现表明，ClickFix 正如何从一种社会工程技术演变为高效的恶意软件入侵入口。为缓解该威胁，必须排查可疑的 PowerShell 命令和 DLL 侧加载事件。