Wprowadzenie do problemu / definicja
ROMULUS to nowo opisana platforma zaplecza przestępczego służąca do dostarczania wielu ładunków malware z użyciem techniki ClickFix. Model ten opiera się na inżynierii społecznej, w której użytkownik zostaje nakłoniony do samodzielnego wykonania działania pozornie związanego z bezpieczeństwem, weryfikacją lub naprawą systemu. W praktyce oznacza to odejście od prostych, jednorazowych kampanii na rzecz bardziej elastycznej i współdzielonej infrastruktury dystrybucji zagrożeń.
W skrócie
- ROMULUS został opisany jako współdzielona platforma dostarczania malware wykorzystująca ClickFix.
- Badacze powiązali ją z co najmniej sześcioma serwerami, co może wskazywać na szerszą skalę operacji.
- Jedna z obserwowanych ścieżek prowadziła do dostarczenia LegionLoadera.
- W kampanii wykorzystywano zaszyfrowane archiwa z celowo powiększonym plikiem wykonywalnym o rozmiarze około 842 MiB.
- Taka technika może utrudniać analizę, omijać ograniczenia narzędzi bezpieczeństwa i zwiększać skuteczność ataku.
Kontekst / historia
W 2026 roku ClickFix stał się jedną z chętniej wykorzystywanych technik dostarczania malware. Jej skuteczność wynika z przeniesienia części wykonania ataku na użytkownika końcowego, który sam uruchamia polecenie lub akceptuje działanie wyglądające na legalny element procesu weryfikacji. Fałszywe ekrany CAPTCHA, komunikaty ostrzegawcze czy instrukcje naprawcze sprawiają, że złośliwa aktywność może wyglądać jak zwykła operacja administracyjna.
W ostatnich miesiącach technika ta była łączona z dostarczaniem infostealerów, loaderów oraz komponentów utrwalających dostęp. Dodatkowo cyberprzestępcy coraz częściej korzystali z przejętych witryn internetowych, w tym stron opartych na WordPressie, aby zwiększyć wiarygodność przynęty. ROMULUS wpisuje się w ten trend, ale wyróżnia się tym, że nie wygląda na pojedynczą kampanię, lecz na współdzieloną platformę backendową zdolną obsługiwać różne scenariusze infekcji.
Analiza techniczna
Z technicznego punktu widzenia ROMULUS nie przypomina klasycznego, jednorazowo skonfigurowanego serwera kampanii. Wszystko wskazuje na to, że jest to reużywalna platforma dostarczania, która może obsługiwać wiele ładunków i potencjalnie wielu operatorów. Taka architektura utrudnia atrybucję oraz podnosi odporność operacji na blokowanie, ponieważ ta sama infrastruktura może pośredniczyć w różnych kampaniach i dostarczać odmienne rodziny malware.
Centralnym elementem łańcucha infekcji pozostaje ClickFix. Ofiara trafia na stronę lub komunikat imitujący legalne ostrzeżenie, proces bezpieczeństwa albo instrukcję diagnostyczną. Następnie zostaje skłoniona do wykonania polecenia uruchamiającego kolejny etap ataku. Ponieważ działanie inicjuje sam użytkownik, część zabezpieczeń może nie zakwalifikować go od razu jako nieautoryzowanego zachowania.
Na szczególną uwagę zasługuje zaobserwowana metoda dostarczania LegionLoadera. Wykorzystano zaszyfrowane archiwa zawierające plik wykonywalny sztucznie powiększony do około 842 MiB. Tego typu zabieg może pełnić kilka funkcji operacyjnych:
- utrudniać pełne skanowanie przez silniki bezpieczeństwa mające limity rozmiaru plików,
- komplikować analizę w sandboxach i systemach automatycznej triage,
- zwiększać koszty operacyjne po stronie obrońcy,
- maskować realne właściwości próbki poprzez nietypowe parametry artefaktu.
Ważne jest również odróżnienie ROMULUS od wcześniej opisywanego RomulusLoadera. Zbieżność nazw nie powinna prowadzić do automatycznego łączenia obu zagrożeń. Na obecnym etapie bardziej trafne jest traktowanie ROMULUS jako odrębnej platformy dystrybucyjnej niż jednej konkretnej rodziny złośliwego oprogramowania.
Konsekwencje / ryzyko
Największe ryzyko wynika z połączenia skutecznej socjotechniki z modułową, współdzieloną infrastrukturą. Taki model zwiększa skalę zagrożenia, ponieważ operatorzy nie muszą budować własnego zaplecza od podstaw. Wystarczy podłączyć kampanię do istniejącej platformy i użyć jej do dystrybucji loaderów, infostealerów lub innych komponentów.
Dla organizacji oznacza to kilka praktycznych wyzwań. Po pierwsze, rośnie ryzyko infekcji inicjowanej pozornie legalną interakcją użytkownika. Po drugie, wieloładunkowy charakter platformy utrudnia tworzenie stabilnych sygnatur i reguł detekcji. Po trzecie, użycie nietypowo dużych plików wykonywalnych może ograniczać widoczność w narzędziach analitycznych i opóźniać reakcję zespołów SOC.
ROMULUS wzmacnia więc trend, w którym ClickFix przestaje być wyłącznie prostą sztuczką socjotechniczną, a staje się realnym punktem wejścia do bardziej dojrzałych operacji malware. Z perspektywy obrony wymaga to połączenia edukacji użytkowników, kontroli wykonywania poleceń, monitoringu endpointów i analizy całego łańcucha dostarczania.
Rekomendacje
Organizacje powinny traktować ClickFix jako pełnoprawny wektor początkowego dostępu. Odpowiedzią nie może być wyłącznie klasyczna ochrona antywirusowa, lecz zestaw uzupełniających się kontroli technicznych i organizacyjnych.
- Szkol użytkowników, aby nie wykonywali poleceń prezentowanych przez strony internetowe, fałszywe CAPTCHA, wyskakujące okna i rzekome instrukcje naprawcze.
- Ogranicz uruchamianie nieautoryzowanych skryptów i interpreterów, takich jak PowerShell czy Windows Script Host.
- Monitoruj procesy potomne przeglądarek oraz relacje między przeglądarką, interpreterem poleceń i nowo uruchamianymi plikami wykonywalnymi.
- Wdróż reguły wykrywania plików o nietypowo dużym rozmiarze, szczególnie jeśli pojawiają się w zaszyfrowanych archiwach lub katalogach tymczasowych.
- Analizuj wskaźniki sugerujące użycie współdzielonej infrastruktury dostarczania, a nie tylko pojedynczych próbek malware.
- Rozwijaj polityki allowlistingu i kontroli aplikacji na stacjach roboczych użytkowników o podwyższonym ryzyku.
- Sprawdź, czy sandboxy, bramy pocztowe i systemy detekcji nie pomijają dużych plików z powodu domyślnych limitów skanowania.
- Prowadź hunting pod kątem sekwencji: odwiedzenie strony, interakcja użytkownika, uruchomienie interpretera poleceń, pobranie archiwum, rozpakowanie i uruchomienie pliku wykonywalnego.
Z perspektywy SOC i IR istotne jest także korelowanie sygnałów, które osobno mogą wyglądać niegroźnie. Pojedyncza akcja użytkownika nie musi wzbudzać alarmu, ale zestawienie jej z pobraniem zaszyfrowanego archiwum oraz pojawieniem się nietypowo dużego binarium może być silnym wskaźnikiem kompromitacji.
Podsumowanie
ROMULUS pokazuje, że kampanie oparte na ClickFix ewoluują w kierunku współdzielonych i skalowalnych platform dostarczania malware. To istotna zmiana jakościowa, ponieważ zamiast izolowanych ataków obserwujemy infrastrukturę zdolną obsługiwać wiele rodzin złośliwego oprogramowania i różne ścieżki infekcji. Dodatkowo wykorzystanie sztucznie powiększonych plików wykonywalnych wskazuje na świadome próby obchodzenia ograniczeń narzędzi bezpieczeństwa. Dla obrońców oznacza to konieczność łączenia świadomości użytkowników, kontroli wykonania, telemetryki endpointów i analizy pełnego łańcucha dostarczania.
Źródła
- ROMULUS Malware Server Leverages ClickFix to Deliver Multiple Payloads — https://www.infosecurity-magazine.com/news/romulus-malware-clickfix-deliver/
- ClickFix Now Cybercriminals’ Favorite Malware Delivery Technique — https://www.infosecurity-magazine.com/news/clickfix-cybercriminals-favorite/
- Compromised WordPress Sites Deliver ClickFix Attacks in Global Infostealer Campaign — https://www.infosecurity-magazine.com/news/wordpress-clickfix-infostealer/
- DeepLoad Malware Combines ClickFix With AI-Generated Code to Avoid Detection — https://www.infosecurity-magazine.com/news/deepload-malware-clickfix-ai-code/
- MaaS Campaign Combines ClickFix, ErrTraffic and Cruciferra — https://www.infosecurity-magazine.com/news/maas-clickfix-errtraffic-cruciferra/