Исследователи в области кибербезопасности раскрыли подробности о платформе доставки ClickFix под названием ROMULUS, которая используется для распространения вредоносного ПО, такого как Legion Loader. По данным Forescout Research — Vedere Labs, ROMULUS представляет собой сервис доставки вредоносного ПО, который использует приманки в стиле ClickFix на поддельных целевых страницах, чтобы обманом заставить ничего не подозревающих пользователей выполнять вредоносные команды и заражать собственные машины. «ROMULUS может быть частной панелью, коммерческим сервисом доставки киберпреступников, партнерской структурой или программным обеспечением, скопированным между операторами», — заявил исследователь безопасности Сай Молиге в своем анализе. Компания по кибербезопасности сообщила, что выявила шесть IP-адресов, на которых работает ROMULUS. Примечательно, что IP-адрес «96.62.224[.]81» был идентифицирован как хостинг скрипта ClickFix и установочного файла MSI в связи с другой кампанией, которая, как было обнаружено, использует вредоносные пользовательские GPT ChatGPT для направления жертв на поддельный URL-адрес, ответственный за показ приманки ClickFix. Собственный анализ Forescout с тех пор обнаружил то же вредоносное ПО, доставляемое через другой сервер, 86.109.75[.]7, на котором также размещалась панель под кодовым названием ROMULUS. Кроме того, отдельная цепочка, запущенная через ClickFix, использовалась для выполнения скрипта PowerShell, который затем доставляет Legion Loader, загрузчик вредоносного ПО, также известный как Satacom downloader, CurlyGate и RobotDropper. На момент написания неизвестно, кто стоит за платформой ROMULUS. Однако она не имеет пересечений с RomulusLoader, семейством вредоносного ПО, связанным с Silver Fox (также известным как TA4922), связанным с Китаем злоумышленником, известным неоднократным использованием предлогов, связанных с налогами, для распространения троянов удаленного доступа, таких как ValleyRAT (также известный как Winos 4.0), DcRAT и, возможно, Venom RAT с помощью методов DLL sideloading. Платформа ROMULUS предоставляет два конечных точки, предназначенные для загрузки скрипта PowerShell, который определяет, какую полезную нагрузку следует загрузить дальше: троянизированный установщик MSI, содержащий загрузчик вредоносного ПО, или зашифрованный архив, содержащий Legion Loader. Сам загрузчик взаимодействует с удаленным сервером для получения и выполнения дополнительных полезных нагрузок. Полученные данные свидетельствуют о том, как ClickFix выходит за рамки техники социальной инженерии и становится высокоэффективной точкой входа для вредоносного ПО. Чтобы смягчить угрозу, крайне важно искать подозрительные команды PowerShell и события DLL sideloading.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
