Analitycy z Vedere Labs (część Forescout Research) zidentyfikowali nową platformę o nazwie ROMULUS. Służy ona jako wielofunkcyjny backend do dostarczania złośliwego oprogramowania, wykorzystując popularną technikę socjotechniczną ClickFix. Zamiast pojedynczego serwera, napastnicy korzystają z powtarzalnej infrastruktury, co sugeruje skalę operacji.
Technika ClickFix polega na manipulowaniu użytkownikiem, aby ten samodzielnie uruchomił komendy dostarczone przez atakującego. Dzięki temu, że to zaufany użytkownik wykonuje polecenia, wiele zabezpieczeń systemowych zostaje skutecznie ominiętych. ROMULUS pozwala na elastyczne dobieranie różnych ścieżek ataku i typów złośliwego kodu.
Jedną z zauważonych metod maskowania działań jest przesyłanie LegionLoadera wewnątrz zaszyfrowanych archiwów. Pliki wykonywalne są w nich sztucznie powiększane do około 842 MB. Taki zabieg ma na celu obejście limitów wielkości plików stosowanych przez narzędzia do skanowania i analizy bezpieczeństwa.
Obecnie zidentyfikowano sześć różnych serwerów obsługujących tę platformę, co wskazuje na to, że ROMULUS może być narzędziem udostępnianym szerszemu gronu cyberprzestępców. Badacze podkreślają, że platforma ta jest odrębnym bytem od wcześniej opisywanego malware RomulusLoader.
