Хакерите користат нова платформа ROMULUS ClickFix за испорака на LegionLoader и друг малвер

Истражувачите за сајбер-безбедност открија детали за платформа за испорака преку ClickFix наречена ROMULUS, која се користи за дистрибуција на малвер како што е Legion Loader.

Според „Forescout Research – Vedere Labs“, ROMULUS е слична на услуга за испорака на малвер што користи мамки во стилот на ClickFix на лажни почетни страници (landing pages) за да ги измами корисниците што не се сомневаат да извршат злонамерни команди и да ги заразат сопствените машини.

„ROMULUS може да биде приватно управуван панел, комерцијална сајбер-криминална услуга за испорака, филијална рамка (affiliate framework) или софтвер што е копиран меѓу операторите“, изјави безбедносниот истражувач Саи Молиџе (Sai Molige) во својата анализа.

Компанијата за сајбер-безбедност соопшти дека идентификувала шест IP адреси на кои работи ROMULUS:

• 96.62.224[.]81
• 86.109.75[.]7
• 151.240.151[.]223
• 23.94.145[.]224
• 93.152.224[.]118
• 2.27.248[.]127

Истакнато е дека IP адресата „96.62.224[.]81“ била идентификувана како домаќин (host) на ClickFix скрипта и MSI инсталер датотека во врска со друга кампања за која е утврдено дека ги користи злонамерните „ChatGPT Custom GPTs“ за да ги насочи жртвите кон лажна URL адреса одговорна за сервирање на ClickFix мамката.

Сопствената анализа на Forescout оттогаш откри дека истиот малвер се испорачува преку друг сервер, 86.109.75[.]7, кој исто така бил домаќин на панел со кодно име ROMULUS. Дополнително, посебен синџир активиран преку ClickFix е користен за извршување на PowerShell скрипта, која потоа го испорачува Legion Loader, вчитувач на малвер кој се нарекува и Satacom downloader, CurlyGate и RobotDropper.

Во моментот на пишување, не е познато кој стои зад платформата ROMULUS. Меѓутоа, таа нема никакви преклопувања со RomulusLoader, семејство на малвер поврзано со Silver Fox (познат и како TA4922), актер со закани поврзан со Кина кој е познат по постојаното користење изговори поврзани со даноци за дистрибуирање тројанци за далечински пристап (RAT) како ValleyRAT (познат и како Winos 4.0), DcRAT и потенцијално Venom RAT преку техники за странично вчитување на DLL (DLL sideloading).

Платформата ROMULUS изложува две крајни точки (endpoints) кои се дизајнирани да преземат PowerShell скрипта за подготвување (staging script), која одлучува каков товар (payload) треба да се преземе следно: тројанизиран MSI инсталер што носителот на малвер го носи во себе или шифрирана архива што содржи Legion Loader, која е зголемена на близу 1 GB со повторлив подлога-материјал (padding) за да ги заобиколи ограничувањата за прикачување, буџетите на сандбоксот (sandbox) или праговите за статичка анализа. Од своја страна, вчитувачот комуницира со оддалечен сервер за да преземе и изврши дополнителни товари.

Овие наоди покажуваат како ClickFix еволуира надвор од техниката за социјално инженерирање во високо ефективна влезна точка за малвер. За да се ублажи оваа закана, од суштинско значење е да се трага по сомнителни PowerShell команди и настани за странично вчитување на DLL.

Извори:

• The Hacker News – Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malware The Hacker News