Hamis weboldalakon futtat káros parancsokat az áldozatokkal a ROMULUS
A látogatót veszi rá rosszindulatú parancsok futtatására a ROMULUS nevű kártevőterjesztő platform. A Forescout Research - Vedere Labs kutatói szerint a hamis céloldalakat használó rendszer többek között a Legion Loader nevű kártevőt juttatja a gépekre.
A hamis céloldalról indul a fertőzés
A ROMULUS a ClickFix nevű megtévesztési módszert használja: hamis weboldalakon olyan utasításokat ad, amelyek követésével a látogató maga futtatja a káros parancsokat. A kutatók hat, a platformot működtető IP-címet azonosítottak.
Az egyik cím egy olyan kampányhoz is kapcsolódott, amely rosszindulatú, egyedi ChatGPT-asszisztensekkel terelte az áldozatokat a csaló oldalra. A Forescout később egy másik kiszolgálón is megtalálta ugyanazt a kártevőt, valamint a ROMULUS kezelőpaneljét.
PowerShell-parancsok után érkezik a kártevő
A platform két végpontja PowerShell-parancsfájlt tölt le, amely meghatározza, mi érkezzen a következő lépésben. Ez lehet kártevőbetöltőt tartalmazó, manipulált MSI-telepítő vagy a Legion Loader programot rejtő titkosított archívum.
A betöltő ezután távoli kiszolgálóhoz kapcsolódik, ahonnan további káros programokat kér le és futtat. A kutatók külön olyan láncolatot is feltártak, amelyben a ClickFix-csalit követően PowerShell-parancsfájl indította el a Legion Loader terjesztését.
A működtetők kiléte még ismeretlen
Egyelőre nem tudni, ki áll a ROMULUS mögött. A kutatók több lehetőséget is felvetettek: magánüzemeltetésű kezelőpanel, értékesített bűnözői szolgáltatás, partnerhálózat vagy különböző szereplők között másolt szoftver is lehet.
A hasonló név ellenére nem találtak átfedést a RomulusLoader nevű kártevőcsaláddal. A védekezéshez a beszámoló a gyanús PowerShell-parancsok és a DLL-sideloading események felkutatását javasolja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum