Los hackers utilizan la nueva plataforma ClickFix de ROMULUS para distribuir LegionLoader y otro malware

Un grupo de in­ves­ti­ga­do­res en se­gu­ri­dad in­for­má­ti­ca ha re­ve­la­do in­for­ma­ción sobre una pla­ta­for­ma de dis­tri­bu­ción de soft­wa­re ma­li­cio­so co­no­ci­da como ROMULUS, la cual uti­li­za se­ñue­los en pá­gi­nas web fal­sas me­dian­te la téc­ni­ca Click­Fix. Este me­ca­nis­mo en­ga­ña a las per­so­nas para que eje­cu­ten co­man­dos da­ñi­nos por cuen­ta pro­pia en sus equi­pos, fun­cio­nan­do de forma si­mi­lar a un ser­vi­cio de dis­tri­bu­ción de có­di­gos ma­li­cio­sos.

Los ex­per­tos de la in­dus­tria de­tec­ta­ron va­rias di­rec­cio­nes IP aso­cia­das con la ope­ra­ción de esta in­fra­es­truc­tu­ra, en­con­tran­do víncu­los con otras cam­pa­ñas que em­plean ver­sio­nes ma­li­cio­sas de ChatGPT para re­di­ri­gir a los usua­rios hacia si­tios fal­sos con estos mis­mos se­ñue­los. Asi­mis­mo, se ob­ser­vó que la pla­ta­for­ma fa­ci­li­ta la eje­cu­ción de se­cuen­cias de co­man­dos de Po­werShell para ins­ta­lar car­ga­do­res de pro­gra­mas da­ñi­nos, entre los que des­ta­ca Le­gion Loa­der.

La iden­ti­dad de los res­pon­sa­bles de­trás de esta he­rra­mien­ta sigue sin es­cla­re­cer­se, y las in­ves­ti­ga­cio­nes acla­ran que no guar­da re­la­ción con otra fa­mi­lia de pro­gra­mas ma­li­cio­sos de nom­bre si­mi­lar vin­cu­la­da a ac­to­res de ame­na­zas es­pe­cí­fi­cos. El sis­te­ma opera a tra­vés de pun­tos fi­na­les que des­car­gan scripts pre­li­mi­na­res para de­ter­mi­nar el si­guien­te ar­chi­vo ma­li­cio­so que se ins­ta­la­rá, in­clu­yen­do ins­ta­la­do­res mo­di­fi­ca­dos y ar­chi­vos com­pri­mi­dos de gran ta­ma­ño di­se­ña­dos para elu­dir los lí­mi­tes de aná­li­sis y sis­te­mas de se­gu­ri­dad.