Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malware
Mis à jour :
ROMULUS : Une nouvelle plateforme de distribution de malwares via ClickFix
La plateforme ROMULUS est une nouvelle infrastructure de type “ClickFix” utilisée pour infecter les utilisateurs en les trompant afin qu’ils exécutent des commandes malveillantes sur leurs propres machines. Cette plateforme sert de vecteur de distribution pour divers payloads, notamment le chargeur de malware Legion Loader (également connu sous les noms de Satacom, CurlyGate ou RobotDropper).
Points clés :
- Fonctionnement : ROMULUS utilise des pages d’atterrissage frauduleuses intégrant des leurres “ClickFix”. L’utilisateur est incité à copier-coller ou exécuter des scripts PowerShell qui orchestrent l’infection.
- Technique d’évasion : Les attaquants utilisent des fichiers volumineux (jusqu’à 1 Go) remplis de données inutiles pour contourner les limites de taille des scanners antivirus, les budgets des environnements de “sandbox” et les seuils d’analyse statique.
- Polyvalence : La plateforme peut déployer des installateurs MSI piégés ou des archives chiffrées contenant des loaders capables de télécharger des charges utiles supplémentaires.
- Origine : Bien que le nom soit similaire à “RomulusLoader”, il n’existe aucune corrélation identifiée avec le groupe Silver Fox (TA4922).
Vulnérabilités : L’article ne mentionne pas de CVE spécifique, car l’attaque repose sur l’ingénierie sociale (ClickFix) et l’abus de fonctionnalités système légitimes (PowerShell, MSI).
Recommandations :
- Surveillance proactive : Rechercher activement les exécutions de commandes PowerShell suspectes au sein du réseau.
- Détection comportementale : Surveiller les événements de “DLL sideloading” (chargement latéral de DLL) qui sont souvent utilisés en complément de ces campagnes.
- Sensibilisation : Éduquer les utilisateurs sur les dangers des méthodes “ClickFix”, qui demandent à l’utilisateur de manipuler manuellement des scripts dans la console système sous prétexte de résoudre une erreur technique.
- Filtrage réseau : Bloquer le trafic vers les adresses IP associées à la plateforme (ex: 96.62.224.81, 86.109.75.7, etc.).