Pesquisadores de cibersegurança divulgaram detalhes sobre o ROMULUS, uma plataforma de distribuição de malware que usa iscas no estilo ClickFix em páginas de destino falsas para disseminar ameaças como o Legion Loader.
Segundo o Vedere Labs, equipe de pesquisa da Forescout, o ROMULUS funciona como um serviço de distribuição de malware. A plataforma usa páginas falsas para enganar pessoas e levá-las a executar comandos maliciosos, infectando os próprios dispositivos.
“O ROMULUS pode ser um painel operado de forma privada, um serviço comercial de distribuição para criminosos cibernéticos, um framework de afiliados ou um programa copiado entre operadores”, afirmou o pesquisador de segurança Sai Molige em uma análise.
A empresa de cibersegurança identificou seis endereços IP que hospedam o ROMULUS:
- 96.62.224[.]81
- 86.109.75[.]7
- 151.240.151[.]223
- 23.94.145[.]224
- 93.152.224[.]118
- 2.27.248[.]127
O endereço IP 96.62.224[.]81 chamou a atenção por hospedar um script do ClickFix e um instalador MSI. Os arquivos estavam ligados a outra campanha que usa GPTs personalizados maliciosos do ChatGPT para direcionar vítimas a uma URL falsa, que exibe a isca do ClickFix.
A análise da Forescout também identificou o mesmo malware sendo distribuído por outro servidor, o 86.109.75[.]7, que hospedava um painel identificado pelo codinome ROMULUS. Além disso, uma cadeia separada, acionada pelo ClickFix, executava um script do PowerShell que distribui o Legion Loader. Esse malware também é conhecido como Satacom downloader, CurlyGate e RobotDropper.
Até o momento, não se sabe quem está por trás da plataforma ROMULUS. No entanto, ela não apresenta sobreposição com o RomulusLoader, uma família de malware associada ao Silver Fox, também conhecido como TA4922. Esse threat actor alinhado à China é conhecido por usar repetidamente pretextos relacionados a impostos para distribuir trojans de acesso remoto, como ValleyRAT, também chamado Winos 4.0, DcRAT e, possivelmente, Venom RAT, por meio de técnicas de DLL sideloading.
A plataforma ROMULUS expõe dois endpoints projetados para baixar um script intermediário do PowerShell. Esse script define qual payload será baixado em seguida: um instalador MSI adulterado para carregar um malware loader ou um arquivo compactado e criptografado contendo o Legion Loader. Em seguida, o loader se comunica com um servidor remoto para obter e executar outros payloads.
As descobertas mostram como o ClickFix está deixando de ser apenas uma técnica de engenharia social e se tornando um ponto de entrada altamente eficaz para malware. Para reduzir o risco, é essencial investigar comandos suspeitos do PowerShell e eventos de DLL sideloading.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...