Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

Platforma ROMULUS rozsyła Legion Loader przez fałszywe strony ClickFix

Forescout opisał ROMULUS, usługę dostarczania złośliwego oprogramowania: fałszywe strony nakłaniają użytkownika do uruchomienia polecenia, które instaluje Legion Loader.

Karta wpisu: Platforma ROMULUS rozsyła Legion Loader przez fałszywe strony ClickFix

Forescout Research Vedere Labs opisał ROMULUS, platformę dostarczania złośliwego oprogramowania opartą na technice ClickFix. Fałszywe strony nakłaniają użytkownika, żeby sam uruchomił polecenie, które infekuje jego komputer, między innymi programem Legion Loader.

Firma znalazła sześć adresów IP z działającym panelem ROMULUS. Jeden z nich, 96.62.224[.]81, udostępniał skrypt ClickFix i instalator MSI w kampanii, w której złośliwe Custom GPT w ChatGPT kierowały ofiary na fałszywy adres. To samo złośliwe oprogramowanie rozsyłał też serwer 86.109.75[.]7. Osobny łańcuch ClickFix uruchamiał skrypt PowerShell, który instalował Legion Loader, znany też jako Satacom downloader, CurlyGate i RobotDropper. Nie wiadomo, kto stoi za platformą. Według badaczy nie ma ona związku z RomulusLoader, rodziną łączoną z grupą Silver Fox.

Kogo dotyczy

Dotyczy użytkowników, którzy trafiają na fałszywe strony z instrukcją wklejenia i uruchomienia polecenia, także tych, których przekierowały tam złośliwe Custom GPT w ChatGPT. Materiał nie wskazuje konkretnych branż ani krajów.

TAB. 2

Źródła

1
The Hacker News — Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malwarethehackernews.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com