Wprowadzenie do problemu / definicja
ROMULUS to nowo opisana platforma służąca do dostarczania złośliwego oprogramowania z wykorzystaniem techniki ClickFix. Mechanizm ten opiera się na socjotechnice i nakłania ofiarę do samodzielnego uruchomienia poleceń, skryptów lub instalatorów, co przenosi część wykonania ataku na użytkownika końcowego. W praktyce utrudnia to tradycyjne blokowanie incydentu na etapie pobrania pliku, ponieważ wykorzystywane są również legalne narzędzia systemowe.
Analiza wskazuje, że ROMULUS nie jest pojedynczą kampanią, lecz elastycznym zapleczem dystrybucyjnym obsługującym wiele ścieżek infekcji oraz różne rodziny malware. To przykład dojrzewania ekosystemu ClickFix z prostego wabika do skalowalnej platformy wejścia do środowiska ofiary.
W skrócie
Badacze bezpieczeństwa opisali ROMULUS jako wieloetapową platformę delivery wykorzystywaną do dystrybucji trojanizowanych pakietów MSI oraz loadera LegionLoader. Infrastruktura obejmuje panel administracyjny, zestaw endpointów obsługujących tokeny kampanii oraz co najmniej kilka adresów IP powiązanych z operacją.
- Platforma wykorzystuje schemat ClickFix do inicjowania infekcji przez użytkownika.
- Zaobserwowano co najmniej dwa główne warianty dostarczenia ładunku.
- Jeden z łańcuchów prowadzi do cichej instalacji trojanizowanego MSI.
- Drugi wykorzystuje zaszyfrowane archiwa 7z i sztucznie napompowany plik PE.
- Końcowym ładunkiem w analizowanych przypadkach był m.in. LegionLoader.
Kontekst / historia
W ostatnim czasie ClickFix zyskał popularność jako metoda początkowego dostępu. Zamiast klasycznego załącznika lub exploit chain, użytkownik trafia na fałszywą stronę i wykonuje sugerowane instrukcje, najczęściej związane z uruchomieniem polecenia PowerShell lub pobraniem rzekomej poprawki. Takie podejście pozwala ominąć część mechanizmów obronnych opartych na reputacji plików oraz przenosi ciężar wykonania na wbudowane komponenty systemu.
ROMULUS został powiązany z wcześniejszymi kampaniami wykorzystującymi trojanizowane instalatory i infrastrukturę ClickFix. Badacze zauważyli też zależności między serwerami obsługującymi ten łańcuch a malware raportowanym w innych incydentach. Odkrycie panelu ROMULUS oraz dedykowanych endpointów sugeruje model współdzielonego zaplecza, a być może nawet usługowego środowiska wspierającego wielu operatorów.
Jednocześnie nie ma potwierdzenia, by opisywana platforma była bezpośrednio związana z inną rodziną malware o podobnej nazwie. ROMULUS należy więc traktować jako odrębny element krajobrazu zagrożeń, skoncentrowany na dostarczaniu ładunków, a nie jako pojedynczy finalny szkodliwy program.
Analiza techniczna
Technicznie ROMULUS działa jako platforma wielopayloadowa. Badacze zidentyfikowali panel administracyjny oraz endpointy odpowiedzialne za pobranie skryptów PowerShell i kolejnych etapów infekcji. Istotną rolę odgrywają tokeny, które prawdopodobnie identyfikują kampanię, wybraną ścieżkę dostarczenia lub konkretną ofiarę.
W pierwszym wariancie skrypt PowerShell pobiera trojanizowany pakiet MSI, zapisuje go w katalogu tymczasowym i uruchamia instalację w trybie cichym. W analizowanym łańcuchu użyto legalnego komponentu aplikacyjnego jako hosta do DLL sideloadingu. Instalator zawierał poprawny plik wykonywalny, zmodyfikowaną bibliotekę DLL oraz dodatkowe elementy loadera. Po uruchomieniu zaufany proces ładował spreparowaną bibliotekę, która przekazywała wykonanie do złośliwego modułu.
Drugi wariant jest bardziej rozbudowany. PowerShell ukrywa okno konsoli, pobiera narzędzie 7zr.exe oraz zaszyfrowane archiwum 7z, a następnie rozpakowuje kolejne warstwy przy użyciu haseł osadzonych w skrypcie i plikach pośrednich. Ostatecznie na system trafia duży plik wykonywalny, którego rozmiar został sztucznie zawyżony przez nadmiarowe dane w sekcji relokacji. Taki zabieg może utrudniać przekazywanie próbki do usług analitycznych, przekraczać limity sandboxów i zwiększać koszt analizy statycznej.
Po uruchomieniu napompowany plik PE odszyfrowuje kolejne etapy i finalnie ładuje LegionLoader. Sam loader komunikuje się z serwerem dowodzenia przy użyciu własnego formatu komunikatów, w których dane są serializowane, szyfrowane RC4 i kodowane Base64. Analiza wskazuje także na obsługę poleceń PowerShell, pobieranie dodatkowych ładunków oraz mechanizmy identyfikacji hosta, co pokazuje, że ROMULUS pełni rolę bramy do dalszej eksploatacji środowiska.
- uruchamianie PowerShell z parametrami ukrywającymi wykonanie lub omijającymi polityki,
- użycie dziesiętnej notacji IPv4 zamiast klasycznego zapisu adresu,
- ciche instalacje MSI z katalogów tymczasowych,
- łańcuch PowerShell prowadzący do 7zr.exe i wielowarstwowych archiwów 7z,
- bardzo duże pliki PE z nienaturalnie rozbudowaną sekcją relokacji.
Konsekwencje / ryzyko
Z punktu widzenia obrońcy największym problemem jest połączenie socjotechniki, legalnych narzędzi systemowych oraz wieloetapowej obfuskacji. ClickFix zwiększa skuteczność infekcji, ponieważ użytkownik sam inicjuje część działań, a PowerShell, msiexec i zaufane binaria pomocnicze mogą nie wzbudzać podejrzeń bez pełnego kontekstu telemetrii.
Ryzyko dotyczy zarówno pojedynczych stacji roboczych, jak i środowisk korporacyjnych, w których dozwolone jest wykonywanie skryptów administracyjnych. Taka platforma może służyć do dostarczania loaderów, RAT-ów, infostealerów, a docelowo także ransomware. Jeśli finalny ładunek uzyska trwałość i zdolność pobierania kolejnych poleceń, incydent szybko może przerodzić się w pełną kompromitację tożsamości, danych i dostępu do zasobów firmowych.
Dodatkowe zagrożenie wynika z możliwej współdzielonej architektury ROMULUS. Jeżeli backend jest używany przez wielu operatorów, rośnie skala kampanii, tempo rotacji infrastruktury i różnorodność payloadów, co znacząco utrudnia tworzenie prostych sygnatur opartych na jednym pliku, adresie lub domenie.
Rekomendacje
Organizacje powinny traktować ClickFix jako odrębną klasę zagrożeń wymagającą zarówno kontroli technicznych, jak i regularnych szkoleń użytkowników. Skuteczna obrona wymaga analizy zachowań, drzewa procesów i korelacji zdarzeń, a nie wyłącznie identyfikacji znanych próbek.
- Monitorować uruchomienia PowerShell z flagami ukrywającymi wykonanie lub omijającymi polityki, szczególnie gdy pojawiają się adresy URL lub nietypowy zapis IPv4.
- Korelować zdarzenia obejmujące skrypt w katalogu tymczasowym, pobranie pliku i późniejsze wywołanie msiexec w trybie cichym.
- Wykrywać sekwencje procesów prowadzące od PowerShell do 7zr.exe i dalej do losowo nazwanych plików EXE.
- Ograniczać możliwość wykonywania niepodpisanych skryptów oraz stosować mechanizmy kontroli aplikacji.
- Analizować bardzo duże pliki PE tworzone w przestrzeni użytkownika, zwłaszcza z podejrzanie rozbudowaną sekcją relokacji.
- Rozszerzyć detekcję o DLL sideloading i nietypowe ładowanie bibliotek z katalogów aplikacji użytkownika.
- Zaktualizować playbooki SOC o scenariusze ClickFix i analizę ścieżki od przeglądarki do interpretera skryptów.
- Szkolić użytkowników, aby nie uruchamiali komend kopiowanych ze stron podszywających się pod CAPTCHA, aktualizacje lub komunikaty systemowe.
Podsumowanie
ROMULUS pokazuje, że ClickFix szybko ewoluuje z prostego schematu socjotechnicznego w modułową platformę dostarczania malware. Możliwość obsługi wielu ścieżek infekcji, wykorzystanie legalnych narzędzi systemowych oraz nacisk na utrudnianie analizy czynią z tej infrastruktury istotne zagrożenie dla organizacji.
Dla zespołów bezpieczeństwa najważniejsze staje się przejście od detekcji opartej wyłącznie na sygnaturach do analizy zachowań, zależności procesów i kontekstu wykonania. To właśnie na tym poziomie ROMULUS pozostawia najwięcej śladów, które można wykorzystać do wczesnego wykrycia i przerwania łańcucha infekcji.
Źródła
- The Hacker News — Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malware — https://thehackernews.com/2026/10/romulus-clickfix-platform-tricks-users.html
- Forescout Vedere Labs — ROMULUS: Analysis of a New Multi-Payload ClickFix Delivery Platform — https://www.forescout.com/blog/romulus-analysis-of-a-new-multi-payload-clickfix-delivery-platform/