Romulus heet het nieuwe ClickFix-afleverplatform dat onderzoekers van Vedere Labs, het dreigingsonderzoeksteam van Forescout, hebben blootgelegd. Criminelen gebruiken het om uiteenlopende malware te verspreiden, waaronder de dropper LegionLoader. De onderzoekers vonden het serverpaneel tijdens het onderzoek naar een incident en publiceerden hun bevindingen op 14 oktober.
Volgens Vedere Labs gaat het niet om één vaste malwareserver, maar om een herbruikbare afleverbackend die meerdere aanvalsketens tegelijk kan bedienen. Forescout telde zes servers die Romulus draaien. Wie het platform beheert en welke criminelen de uiteindelijke malware bezitten, is onbekend. De onderzoekers houden rekening met verschillende mogelijkheden: een privaat beheerd paneel, een commerciële afleverdienst voor andere criminelen, een affiliatenetwerk, of software die tussen operators is gekopieerd. Romulus staat los van RomulusLoader, een andere malware die beveiligingsbedrijf Proofpoint eerder dit jaar beschreef; de naamsovereenkomst berust op toeval.
Hoe de aanvalsketen werkt
Romulus draait op ClickFix, een social-engineeringtechniek die inmiddels bij veel malwarecampagnes opduikt. Slachtoffers krijgen een nepmelding te zien, bijvoorbeeld een verificatiestap of foutmelding, en worden verleid om zelf een door de aanvaller voorbereid commando uit te voeren, meestal via het Windows-dialoogvenster Uitvoeren. Omdat de gebruiker dat zelf en met eigen rechten op de eigen machine doet, omzeilt dit veel beveiligingsmaatregelen die zijn ingesteld op verdachte downloads of e-mailbijlagen.
Vedere Labs zag twee verschillende afleverroutes via Romulus-servers. Bij de eerste haalt een PowerShell-script een genest, versleuteld 7z-archief op van het domein orbitflownetwork[.]lol. Daarin zit een uitvoerbaar bestand dat kunstmatig is opgeblazen tot ongeveer 842 MiB, vermoedelijk om de bestandsgrootte-limieten van virusscanners en sandboxanalyse te overschrijden. Dat bestand bleek LegionLoader, een dropper die al sinds 2019 als malware-as-a-service wordt verhuurd en eerder werd verspreid via nepcaptcha’s en misbruikte Cloudflare Turnstile-verificaties. Bij de tweede route leverde een andere Romulus-server hetzelfde sideloading-pakket af dat beveiligingsbedrijf Huntress eerder beschreef: het misbruiken van een legitiem Stardock-programma om kwaadaardige code via DLL-sideloading te laten draaien.
Wat dit betekent voor beheerders
Dat hetzelfde platform totaal verschillende malwarefamilies en technieken bedient, wijst erop dat ClickFix niet langer alleen een losse truc is, maar is uitgegroeid tot gedeelde criminele infrastructuur. Voor IT-afdelingen betekent dit vooral dat het beperken van wat gebruikers via Uitvoeren of PowerShell kunnen starten minstens zo belangrijk is als traditionele mailfiltering. Schakel waar mogelijk de Windows-functie Uitvoeren uit voor gebruikers die dat niet nodig hebben, beperk PowerShell met constrained language mode of applicatiewhitelisting, en leer medewerkers dat een echte foutmelding nooit vraagt om zelf een commando te kopiëren en uit te voeren.
Bron: Forescout Vedere Labs, Infosecurity Magazine
Wat betekent dit voor jouw bedrijf?
Beperk waar mogelijk de Windows-functie Uitvoeren en zet PowerShell in constrained language mode, zodat medewerkers niet per ongeluk een ClickFix-commando uitvoeren dat malware zoals LegionLoader binnenhaalt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.