I ricercatori di cybersecurity hanno individuato una nuova piattaforma di distribuzione malware chiamata ROMULUS, basata su tecniche ClickFix e progettata per convincere gli utenti a eseguire comandi dannosi in autonomia. Il modello è semplice ma estremamente efficace: la vittima atterra su una pagina web fasulla che simula un problema tecnico o una verifica di sicurezza e viene guidata passo passo a copiare e incollare istruzioni nel sistema, spesso tramite PowerShell.
In questo modo il social engineering diventa il vero vettore di infezione, aggirando molte difese tradizionali.
ROMULUS si comporta come un servizio di delivery, potenzialmente usato da più operatori, come pannello privato, come framework per affiliati o come piattaforma commerciale nel cybercrime. Le analisi hanno evidenziato un’infrastruttura distribuita su più indirizzi IP, segnale di un’organizzazione orientata alla continuità operativa e alla rotazione dei server. In almeno un caso, un indirizzo IP risulta collegato a campagne che sfruttano esche ClickFix insieme a file MSI e script, mostrando come questi attacchi possano integrarsi con altre catene di infezione già osservate nel panorama delle minacce.
Il payload più rilevante associato a ROMULUS è Legion Loader, un malware loader noto anche con altri nomi. Il suo ruolo è aprire la strada a infezioni successive, comunicando con un server remoto per scaricare ed eseguire ulteriori componenti. La catena tipica descritta prevede il download di uno script di staging in PowerShell che decide quale contenuto recuperare in seguito. Le opzioni includono un installer MSI trojanizzato che contiene un loader oppure un archivio cifrato con Legion Loader. Questo approccio modulare rende la campagna flessibile, perché consente di cambiare payload e tecniche senza modificare radicalmente l’esca iniziale.
Al momento non è stata attribuita con certezza la paternità della piattaforma ROMULUS e non risultano collegamenti diretti con altre famiglie che condividono nomi simili. Dal punto di vista difensivo, il segnale più importante è la crescita di ClickFix da semplice trucco di ingegneria sociale a punto di ingresso strutturato per malware. Per ridurre il rischio diventa fondamentale monitorare comandi PowerShell sospetti, bloccare esecuzioni non autorizzate e investigare eventi anomali legati a tecniche di caricamento laterale di DLL, spesso usate per mascherare componenti malevoli.