Onderzoekers hebben details gedeeld over ROMULUS ClickFix, een platform dat wordt gebruikt om malware te verspreiden. In plaats van alleen een simpele social engineering-truc draait het om een hele afleverketen: valse landingspagina’s sturen gebruikers naar kwaadaardige commando’s, waarna de besmetting zich op de eigen machine doorzet.
Een van de genoemde payloads is Legion Loader. Daarnaast wordt er in de analyses gesproken over een loader die ook andere namen heeft gekregen (zoals Satacom downloader, CurlyGate en RobotDropper). De belangrijkste waarschuwing: ClickFix-achtige misleiding ontwikkelt zich tot een steeds effectievere ingangsroute voor echte malware.
Wat is ROMULUS ClickFix precies?
ROMULUS ClickFix wordt door onderzoekers omschreven als een soort “malware delivery service”. Het platform maakt gebruik van ClickFix-achtige lures op zogenaamde bogus landing pages—pagina’s die lijken op een legitieme actie, maar in werkelijkheid bedoeld zijn om slachtoffers te laten instappen.
In de analyse wordt ROMULUS niet eenduidig gelabeld. Mogelijke scenario’s die worden genoemd: een privé beheerd panel, een commerciële cybercriminele afleverdienst, een affiliate-framework of software die tussen verschillende operators is gekopieerd. Wat wel duidelijk is: er draaien meerdere IP-adressen met onderdelen van de keten.
Voorbeelden van IP-adressen die ROMULUS draaien
Forescout Research – Vedere Labs identificeerde zes IP-adressen die ROMULUS uitvoeren:
- 96.62.224[.]81
- 86.109.75[.]7
- 151.240.151[.]223
- 23.94.145[.]224
- 93.152.224[.]118
- 2.27.248[.]127
Specifiek 96.62.224[.]81 werd gelinkt aan een ClickFix-script en een MSI-installer in combinatie met een andere campagne. Die campagne stuurde slachtoffers via een neplevering die weer verbonden werd aan misbruik van malafide “ChatGPT Custom GPTs” om richting een fake URL te bewegen.
Hoe werkt de ClickFix-afleverketen?
ROMULUS exposeert volgens de bevindingen twee endpoints die zijn ontworpen om een PowerShell staging script te downloaden. Dat staging script bepaalt vervolgens welke payload erna moet worden opgehaald.
De payloadkeuze lijkt te draaien om twee varianten:
- een trojanized MSI installer die een malware loader bevat, of
- een geëncrypteerd archief waaruit Legion Loader wordt gedownload.
Daarna communiceert de loader met een remote server om aanvullende onderdelen op te halen en uit te voeren. Daarmee ontstaat een keten van “misleiding → staging → loader → vervolgpayload”.
Welke malware komt in beeld?
In de rapportage staat Legion Loader centraal. Deze loader wordt ook omschreven met alternatieve namen, waaronder:
- Satacom downloader
- CurlyGate
- RobotDropper
Het is daarnaast vermeldenswaardig dat dezelfde analyses ook andere aflevermethoden beschrijven die via ClickFix worden getriggerd, zoals een keten waarbij een PowerShell-script wordt gestart en daarna de loader levert.
Geen relatie met RomulusLoader, maar wel dezelfde dreigingslogica
Hoewel de naam ROMULUS kan lijken op andere malware-gerelateerde namen, geeft de bron aan dat ROMULUS geen overlap heeft met RomulusLoader, een malwarefamilie die wordt gekoppeld aan Silver Fox (TA4922).
Dat neemt niet weg dat de dreigingslogica vergelijkbaar kan voelen: aanvallers zoeken voortdurend naar manieren om een ingang te creëren die niet opvalt bij de gebruiker. In het geval van ROMULUS draait het om misleidende pagina’s en een staging script dat de volgende stap voor de malware bepaalt.
Waarom ROMULUS ClickFix zo effectief is
De kern is dat ClickFix hier niet alleen een “klikval” is, maar een operationele entry point die doorzet naar daadwerkelijke code-uitvoering. Door het staging script in te zetten, kunnen aanvallers:
- payloads dynamisch kiezen (MSI versus geëncrypteerd archief),
Voor defenders betekent dit dat je niet alleen moet kijken naar het uiteindelijke bestand, maar ook naar de tussenstappen—vooral PowerShell en sporen van loader-activiteit.
Detectie en mitigatie: waar moet je op letten?
De onderzoekers benadrukken dat verdedigers gericht moeten zoeken naar signalen in de aanvalsketen. Twee elementen worden daarbij expliciet genoemd: verdachte PowerShell-commando’s en DLL sideloading events.
Concreet betekent dit doorgaans dat je binnen je beveiligingsmonitoring extra alert moet zijn op:
- PowerShell-processen die starten op niet-verwachte momenten of vanuit processen waar je dat niet van verwacht;
- PowerShell-commando’s die downloaden of staging-achtige gedrag vertonen;
- activiteiten waarbij DLL’s worden geladen op een manier die wijst op sideloading (zonder duidelijke legitieme reden);
- execution van trojanized MSI-componenten of onverwachte installatieketens die daarna loadergedrag uitlokken.
Naast detectie helpt ook incident response discipline: beperk uitvoer waar mogelijk, log op procesniveau en zorg dat je team snel kan schakelen bij verdachte PowerShell-sporen.
Vergelijkbare aanpakken in eerdere campagnes
ROMULUS ClickFix past in een breder patroon: aanvallers gebruiken steeds vaker “low-friction” ingangen die daarna met automatisering naar malware doorlopen. Binnen de site zijn meerdere artikelen te vinden die ingaan op misbruik van kwetsbaarheden en onveilige ketens, wat helpt om je eigen detectieregels te aanscherpen.
Zo is er bijvoorbeeld aandacht voor hoe aanvallen via verschillende stappen en omgevingen kunnen doorwerken bij gecompromitteerde platforms en toegangspunten, zoals bij gecompromitteerde ConnectWise toegang: wat nu te doen?. Ook kun je je defensie verder aanscherpen door te kijken naar situaties waar supply-chain of delivery-achtige mechanismen een rol spelen, bijvoorbeeld via Rank Math PRO gehackt via supply chain: aanpak.
Conclusie
ROMULUS ClickFix laat zien hoe misleiding doorontwikkelt tot een volwaardige malware-afleverketen. De combinatie van valse landingspagina’s, PowerShell staging scripts en een payloadkeuze (trojanized MSI of een geëncrypteerd archief) maakt de aanval minder voorspelbaar voor verdedigers.
Wie risico wil beperken, moet vooral letten op verdachte PowerShell-activiteit en signalen van DLL sideloading. Met goede monitoring op procesgedrag en een snelle respons op verdachte ketens verklein je de kans dat een ClickFix-truc uitgroeit tot een echte infectie.
Bron: https://thehackernews.com/2026/10/romulus-clickfix-platform-tricks-users.html
