Una nuova e sofisticata piattaforma, denominata ROMULUS, è emersa come un'infrastruttura riutilizzabile per la distribuzione di malware. Sfruttando tecniche di offuscamento, DLL sideloading e pacchetti legittimi compromessi, ROMULUS è in grado di veicolare diversi payload malevoli, tra cui trojan e loader avanzati.
Ricercatori di sicurezza hanno identificato una nuova e preoccupante piattaforma di distribuzione di malware, soprannominata ROMULUS. Questa infrastruttura si distingue per la sua modularità e la capacità di veicolare differenti tipi di payload malevoli, sfruttando una combinazione di tecniche avanzate e l'abuso di software legittimo.
ROMULUS opera attraverso una rete di almeno sei server identificati, che fungono da backend per la distribuzione di contenuti dannosi. La piattaforma è stata collegata a campagne precedentemente documentate, inclusa una che sfruttava le funzionalità personalizzate di ChatGPT per indurre gli utenti a scaricare e installare malware. L'indagine è partita dall'analisi di campioni di malware rinvenuti su un server, che presentavano somiglianze con quelli distribuiti tramite un altro server precedentemente associato ad attacchi che utilizzavano Custom GPTs per ingannare gli utenti.
I ricercatori hanno scoperto che ROMULUS utilizza un sistema di autenticazione basato su token esadecimali di 12 caratteri. L'accesso ai pannelli di amministrazione della piattaforma avviene tramite un endpoint API specifico, che registra le credenziali e restituisce token di sessione. Alcuni server espongono anche una pagina di statistiche che fornisce dettagli sulle installazioni, le esecuzioni, l'attività storica e la distribuzione geografica dei payload.
La piattaforma è progettata per separare la distribuzione dei payload attraverso URL distinti: uno per gli script di staging PowerShell e un altro per gli installer MSI trojanizzati. Questa architettura suggerisce una notevole flessibilità, permettendo agli operatori di adattare l'infrastruttura per veicolare diverse famiglie di malware senza dover ricorrere a server dedicati per ciascuna minaccia.
ROMULUS impiega diverse tecniche per eludere il rilevamento e garantire l'esecuzione dei suoi payload. Una delle vie di infezione osservate prevede l'abuso di applicazioni legittime come Canon e Stardock per attuare il DLL sideloading. In questo scenario, un installer MSI trojanizzato, scaricato tramite un indirizzo IP codificato in formato decimale, viene installato silenziosamente utilizzando msiexec.exe. L'installazione sfrutta un eseguibile legittimo (DeElevate64.exe) che, tuttavia, carica una DLL modificata (DeElevator64.dll) che a sua volta reindirizza l'esecuzione verso una DLL malevola (I++u.dll).
Un'altra rotta di distribuzione recupera un archivio cifrato da un dominio specifico. Questo archivio contiene un eseguibile legittimo (7zr.exe) scaricato da GitHub, insieme a diversi file binari cifrati. L'eseguibile malevolo, dopo essere stato decompresso, utilizza la cifratura AES-256 per decrittografare uno shellcode e mappare manualmente il payload finale, che in questo caso è stato identificato come LegionLoader. Questo loader è noto anche con altri nomi, tra cui Satacom, CurlyGate e RobotDropper.
Per rendere più difficile l'analisi, i file binari malevoli presentano sezioni di riempimento (.reloc) di grandi dimensioni. Questo espediente permette a un archivio di piccole dimensioni di espandersi notevolmente una volta decompresso, potenzialmente superando i limiti di scansione dei sistemi di sicurezza, i budget delle sandbox o le soglie di upload.
Il LegionLoader comunica con il suo server di comando (Command and Control, C2) utilizzando endpoint specifici per la registrazione e l'invio di task, e per la ricezione dei risultati. Le comunicazioni tra il loader e il server C2 sono cifrate con RC4 e successivamente codificate in Base64, nonostante le richieste HTTP dichiarino un tipo di contenuto diverso (application/x-www-form-urlencoded). Questo schema di comunicazione e cifratura è stato precedentemente documentato da altre società di sicurezza, che hanno anche evidenziato le capacità di raccolta dati simili a quelle del browser Chrome.
I ricercatori consigliano ai difensori di prestare particolare attenzione a script PowerShell di lunga lunghezza che vengono eseguiti dalla directory temporanea (%TEMP%), download effettuati tramite indirizzi IP in formato decimale, l'uso di flag per nascondere l'esecuzione, installazioni MSI silenziose e richieste POST con un singolo blob Base64. La correlazione di questi comportamenti con la catena di processi (process ancestry) offre un livello di rilevamento più robusto rispetto alla sola analisi dei nomi dei file.
Al momento, l'attribuzione degli operatori dietro ROMULUS rimane incerta. La condivisione di infrastrutture non implica necessariamente una proprietà comune dei malware distribuiti. È importante notare che questa piattaforma non è stata collegata a un'altra minaccia precedentemente documentata, denominata RomulusLoader, per evitare confusioni e attribuzioni errate basate su nomi simili.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
