Wer hinter ROMULUS steht, ist bislang unbekannt. „ROMULUS kann ein privat betriebenes Panel sein, ein kommerzieller Auslieferungsdienst für Cyberkriminelle, ein Affiliate-Framework oder Software, die zwischen Betreibern kopiert wurde“, schreibt der Sicherheitsforscher Sai Molige in seiner Analyse. Das Unternehmen beschreibt die Plattform als eine Art Malware-Auslieferungsdienst.

Identifiziert wurden sechs IP-Adressen, auf denen ROMULUS läuft:

  • 96.62.224[.]81
  • 86.109.75[.]7
  • 151.240.151[.]223
  • 23.94.145[.]224
  • 93.152.224[.]118
  • 2.27.248[.]127

Die Adresse 96.62.224[.]81 war zuvor als Hoster eines ClickFix-Skripts und einer MSI-Installationsdatei aufgefallen – im Zusammenhang mit einer Kampagne, die über manipulierte ChatGPT Custom GPTs Opfer auf eine gefälschte URL mit dem ClickFix-Köder lenkte. Dieselbe Schadsoftware fand Forescout anschließend auf einem weiteren Server, 86.109.75[.]7, der ebenfalls ein ROMULUS-Panel beherbergte. Eine separate, über ClickFix ausgelöste Kette führte ein PowerShell-Skript aus, das Legion Loader nachlud. Der Lader wird auch als Satacom downloader, CurlyGate und RobotDropper bezeichnet.

Die Plattform stellt zwei Endpunkte bereit, über die ein PowerShell-Staging-Skript heruntergeladen wird. Dieses entscheidet über die nächste Nutzlast: entweder ein trojanisierter MSI-Installer mit einem Malware-Lader oder ein verschlüsseltes Archiv mit Legion Loader. Letzteres wird mit sich wiederholenden Füllbytes auf knapp 1 GB aufgebläht, um Upload-Limits, Zeitbudgets von Sandboxen oder Schwellenwerte statischer Analyse zu umgehen. Der Lader selbst kontaktiert einen entfernten Server, um weitere Nutzlasten zu beziehen und auszuführen.

Trotz des ähnlichen Namens gibt es laut der Analyse keine Überschneidungen mit RomulusLoader, einer Malware-Familie, die dem China-nahen Akteur Silver Fox (auch TA4922) zugeordnet wird. Dieser nutzt wiederholt steuerbezogene Vorwände, um Fernzugriffstrojaner wie ValleyRAT (auch Winos 4.0), DcRAT und möglicherweise Venom RAT über DLL-Sideloading zu verbreiten.

Die Beobachtungen zeigen, dass sich ClickFix von einer Social-Engineering-Technik zu einem wirksamen Einstiegspunkt für Schadsoftware entwickelt. Zur Abwehr empfiehlt Forescout, gezielt nach verdächtigen PowerShell-Befehlen und DLL-Sideloading-Ereignissen zu suchen.