Onderzoekers waarschuwen voor een nieuwe manier waarop hackers slachtoffers verleiden tot het uitvoeren van kwaadaardige acties. De kern heet ROMULUS ClickFix: een ClickFix-achtig afleverplatform dat via nep-landingpagina’s gebruikers naar een kwaadaardige opdracht probeert te sturen. In analyses komt naar voren dat dit kan leiden tot infecties met malware zoals Legion Loader.
De details roepen een belangrijk beeld op: ClickFix is niet langer alleen een techniek uit de hoeken van social engineering, maar groeit uit tot een praktische ‘entry point’ waarmee meerdere malwarevarianten kunnen worden afgeleverd.
Wat is ROMULUS ClickFix?
ROMULUS ClickFix wordt door Forescout Research – Vedere Labs beschreven als een platform dat functioneert als een leveringdienst voor malware. Het idee is vergelijkbaar met ClickFix: slachtoffers krijgen een lokmiddel voorgeschoteld op een bogus landing page. Vervolgens wordt de gebruiker verleid om commando’s uit te voeren die de eigen machine besmetten.
In het onderzoek blijft de exacte herkomst van het platform onduidelijk. Wel geven de onderzoekers aan dat ROMULUS mogelijk meerdere gedaantes kan hebben: een privé beheerd paneel, een commerciële service voor cybercriminelen, een affiliate-achtig kader of gekopieerde software die door verschillende partijen wordt gebruikt.
Welke malware kan ermee worden afgeleverd?
Het platform wordt gelinkt aan het afleveren van Legion Loader. Daarnaast worden in de keten ook andere namen genoemd die passen bij loaders of downloadcomponenten, zoals Satacom downloader, CurlyGate en RobotDropper. Dit wijst erop dat het systeem niet één vaste payload heeft, maar kan schakelen op basis van de afvleerring of de gekozen route.
De onderzoekers beschrijven ook dat de loader vervolgens communiceert met een externe server om nog aanvullende payloads op te halen en uit te voeren. Dat maakt de infectieketen modulair: eerst toegang, daarna uitbreiding.
Hoe werkt de afleverketen in grote lijnen?
Volgens de analyse exposeert ROMULUS twee endpoints die zijn ontworpen om een PowerShell staging script te downloaden. Dat script bepaalt vervolgens welke volgende payload moet worden opgehaald.
Er worden twee benaderingen genoemd:
- Een trojanized MSI installer die een malware loader bevat.
- Een versleuteld archief dat eveneens Legion Loader kan bevatten.
Daarmee wordt de gebruiker niet alleen naar een nep-pagina gelokt, maar krijgt het platform ook de mogelijkheid om de uiteindelijke payload te kiezen en te activeren via scripts en downloadstappen.
Waar zagen onderzoekers ROMULUS draaien?
In de openbaar gemaakte bevindingen staan zes IP-adressen die ROMULUS betrokken zouden hebben. Het gaat om de volgende adressen:
- 96.62.224[.]81
- 86.109.75[.]7
- 151.240.151[.]223
- 23.94.145[.]224
- 93.152.224[.]118
- 2.27.248[.]127
Een van die adressen, 96.62.224[.]81, werd ook gekoppeld aan een andere campagne. Daar zou het gaan om een situatie waarin een ClickFix-script en een MSI-installer werden gehost in verband met een route die slachtoffers naar een nep-URL stuurde. In die eerdere context zouden malicious ChatGPT Custom GPT’s een rol hebben gespeeld bij het doorsturen naar het lokmiddel.
Daarnaast bleek dat dezelfde malware ook via een andere server werd afgeleverd, namelijk 86.109.75[.]7, waar eveneens een paneel met de naam ROMULUS werd waargenomen.
ClickFix verandert: van loktechniek naar effectieve malware-entry
De onderzoekers benadrukken dat ClickFix zich ontwikkelt buiten de traditionele scope van een enkel social engineering-patroon. In het geval van ROMULUS werkt het systeem als een sterk startpunt waarmee aanvallers relatief snel kunnen opschalen naar een technisch uitvoerbare infectieketen.
De combinatie van valse landingspagina’s, het triggeren van scripts en het daarna ophalen van payloads maakt het voor verdedigers lastiger om alleen op één indicatie af te gaan. De aanval gebruikt meerdere lagen: eerst verleiden, dan uitvoeren, daarna uitbreiden.
Wat kun je als organisatie nu doen?
Omdat de keten volgens de analyse draait op het opsporen en triggeren van PowerShell en vervolgstappen zoals het uitvoeren van malware-loader componenten, ligt de focus voor verdediging op detectie en beperking van verdachte uitvoering.
Concreet raden de onderzoekers aan om te zoeken naar:
- verdachte PowerShell-commando’s die passen bij staging of het ophalen van volgende componenten;
- DLL sideloading events (vooral relevant als je in je omgevingen ziet dat legitieme processen onverwacht DLL-bestanden laden);
- patronen waarbij PowerShell direct of indirect leidt tot het downloaden en starten van een loader of installer.
Wie dit soort sporen wil vertalen naar beleid, kan het best beginnen met het aanscherpen van logging en alerts rond scriptuitvoering, het controleren van endpoint-telemetrie op ongebruikelijke procesketens en het aanscherpen van controles op hoe installers en scripts worden gestart.
Gerelateerd: kijk ook naar andere compromitterende toegangspaden
ClickFix en loader-ketens zijn niet de enige route waar incidenten vaak mee beginnen: ook gecompromitteerde accounts leiden regelmatig tot misbruik dat later payloads of beheertoegang mogelijk maakt. Als je breder wilt kijken naar patronen rond accountcompromissen en governance-impact, is dit mogelijk relevant: wat een gecompromitteerde login bij ETS betekent.
Door zulke onderwerpen te combineren — social engineering entry points én accountmisbruik — wordt duidelijker waar je controles het hardst nodig hebt.
Conclusie
ROMULUS ClickFix laat zien hoe snel social engineering kan evolueren naar een technisch bruikbare infectieketen. Door nep-landingpagina’s te gebruiken en via PowerShell staging en daaropvolgende downloads malware zoals Legion Loader te leveren, creëren aanvallers een route die verdergaat dan alleen een enkele klik.
Voor verdedigers is de boodschap helder: let op verdachte PowerShell-activiteit, houd DLL-lading en procesketens scherp in de gaten en beoordeel incidentrespons op basis van de hele keten, niet alleen op het eerste lokmoment.
Bron: https://thehackernews.com/2026/10/romulus-clickfix-platform-tricks-users.html
1 reactie