1. Onderzoekers van Forescout's Vedere Labs identificeerden op 15 oktober 2026 een nieuw platform genaamd ROMULUS. Dit platform wordt door hackers gebruikt om malware te verspreiden.
2. ROMULUS werkt als een herbruikbare distributie-backend voor verschillende malwarepakketten, en niet als een server voor één specifieke payload.
3. De beheerders van ROMULUS blijven onbekend.
4. ROMULUS ondersteunt verschillende infectiepaden. Een van deze paden installeert LegionLoader.
5. Een ander pad misbruikt een legitiem Stardock-programma om kwaadaardige code te laden.
6. Het onderzoek koppelde het ROMULUS-platform aan een pakket dat eerder door Huntress werd beschreven, waarbij aangepaste ChatGPT GPT's werden misbruikt om bezoekers naar ClickFix-traps te leiden.
7. ROMULUS verspreidt malware via ClickFix-traps, in combinatie met verborgen PowerShell-scripts, aangepaste software-installatieprogramma's en versleutelde archieven.
8. ClickFix misleidt gebruikers om zelf commando's uit te voeren, vaak via valse verificatiepromptjes of reparatie-instructies. Hierdoor kan een normaal browserbezoek het begin worden van een Windows-infectie.
9. Onderzoekers onderzochten twee distributieketens die ROMULUS gebruikte en vonden zes IP-adressen met hetzelfde inlogpaneel.
10. De routes van ROMULUS gebruiken twaalf-tekens-tokens om PowerShell-staging-scripts of kwaadaardige MSI-installatieprogramma's op te halen. Het is niet duidelijk of deze tokens slachtoffers, campagnes, opdrachten of distributietaken identificeren.
11. Beide onderzochte scripts, ROMULUS-stagers, gebruikten hetzelfde basisontwerp. Verborgen code werd herbouwd uit grote reeksen getallen alvorens deze door PowerShell te laten uitvoeren.
12. Elk script verwijderde zichzelf voordat het afliep. Het wijzigen van sleutels en variabelen gaf individuele samples een ander uiterlijk, terwijl hetzelfde algemene uitvoeringspatroon behouden bleef.
13. De eerste route downloadde een MSI via een IP-adres geschreven als een decimaal getal. De MSI werd opgeslagen in de tijdelijke map, de downloadrestrictie werd verwijderd en Windows Installer werd stilzwijgend gestart.
14. Vergelijkbare ClickFix MSI-installatieaanvallen tonen aan waarom verdedigers de volledige procesketen moeten onderzoeken.
15. Het pakket deed zich voor als Stardock Smart DeElevation Tool en startte na installatie een legitiem uitvoerbaar bestand.
16. Dat programma laadde een gepatchte DLL uit zijn eigen map, die vervolgens de kwaadaardige loader ophaalde. Deze DLL-sideloading-keten stelde aanvallers in staat legitieme software te gebruiken als startpunt voor schadelijke executie.
17. De tweede route verborg zijn PowerShell-venster en downloadde een versleuteld archief naast het legitieme 7-Zip command-line-hulpprogramma.
18. Eén wachtwoord-beveiligd archief bevatte een ander, waarvan het wachtwoord afkomstig was uit een bijbehorend tekstbestand. Versleutelde archief-headers verdoezelden bestandsnamen en inhoud voor scanners die het wachtwoord niet hadden.
19. Een archief kleiner dan één megabyte kon door middel van herhaalde padding in het relocatie-gedeelte een bestand van 882.716.672 bytes creëren. Dit was een ontwijkingsmethode om bepaalde uploadlimieten, sandbox-budgetten of scanningsdrempels te overschrijden.
20. Twee uitpakfasen gebruikten AES-encryptie en keerden gedecodeerde bytes om voordat LegionLoader in het geheugen werd geladen. Eerdere rapportages over LegionLoader-distributieketens documenteren het gebruik ervan buiten ROMULUS.
21. LegionLoader registreerde geïnfecteerde systemen, ontving commando's, ondersteunde PowerShell-uitvoering en verwerkte aanvullende payload-downloads. Het verkreeg ook toegang tot Chrome Local State-sleutelgegevens om gevoelige browserinformatie te verzamelen.
22. Het commando-verkeer van LegionLoader gebruikte RC4-encryptie en Base64-codering binnen verzoeken die werden aangemerkt als gewone webformulieren.
23. Een blootgelegde statistiekenpagina volgde unieke installaties, totale uitvoeringen, een geschiedenis van veertien dagen en landen, wat beheerders kan helpen bij het meten van de prestaties van campagnes.
24. Er werden ook vijf binaire bestanden gevonden waarvan het doel onduidelijk bleef.
25. Forescout raadt aan om PowerShell-scriptlogs, stille MSI-installaties vanuit tijdelijke mappen, ongebruikelijke DLL-ladingen en buitensporig grote uitvoerbare bestanden te controleren.
26. Met geschikte netwerkzichtbaarheid kunnen verdedigers zoeken naar formulierverzoeken die één Base64-blob bevatten in plaats van normale velden.
27. Het koppelen van browseractiviteit, scriptuitvoering en later netwerkverkeer is waardevol, in plaats van elk evenement afzonderlijk te behandelen.
28. Gebruikers wordt geadviseerd verificatiepagina's te sluiten die commando-uitvoering vereisen.
29. Veiligheidsteams moeten ook bestanden beoordelen die werden overgeslagen vanwege groottebeperkingen.
30. De bronindicatoren ondersteunen onderzoek, terwijl de directe ROMULUS-verbinding van de eerdere stager onbevestigd blijft. Geen enkele indicator mag de beoordeling van het omringende proces-, bestands- en netwerkbewijs vervangen.
31. Alle hashes zijn SHA-256-waarden die in de analyse van Forescout zijn gerapporteerd.
32. Wachtwoorden zijn analyseartefacten uit de bron, geen op zichzelf staand bewijs van compromis.