پژوهشگران شرکت امنیت سایبری Forescout از شناسایی پلتفرمی با نام ROMULUS خبر داده‌اند که با استفاده از روش ClickFix و صفحات جعلی، کاربران را به اجرای دستورهای مخرب پاورشل ترغیب می‌کند. این زیرساخت برای توزیع چند نوع بدافزار، از جمله  Legion Loader، به کار می‌رود و بررسی‌ها تاکنون به شناسایی شش نشانی IP مرتبط با آن منجر شده است.

بر اساس گزارش آزمایشگاه پژوهشی Vedere Labs متعلق به  Forescout، پلتفرم ROMULUS مانند زیرساختی برای توزیع بدافزار عمل می‌کند و امکان تحویل محموله‌های مخرب مختلف را از طریق حملات ClickFix فراهم می‌سازد.

در این روش، مهاجمان با طراحی صفحات فرود جعلی، کاربر را به اجرای یک دستور در سیستم خود ترغیب می‌کنند. این صفحات ممکن است ظاهری شبیه مراحل تأیید هویت، بررسی امنیتی یا رفع یک مشکل فنی داشته باشند؛ اما دستور پیشنهادی در واقع برای دریافت و اجرای کد مخرب طراحی شده است.

در حملات شناسایی‌شده، دستورهای پاورشل نقش مهمی در دریافت و اجرای مراحل بعدی بدافزار دارند. به این ترتیب، کاربر با اجرای دستور ارائه‌شده در صفحه جعلی، ناخواسته به فرایند آلوده شدن سیستم خود کمک می‌کند.

Legion Loader؛ یکی از بدافزارهای توزیع‌شده با  ROMULUS

یکی از بدافزارهایی که در ارتباط با این زیرساخت شناسایی شده، Legion Loader  است؛ بدافزاری که با نام‌های دیگری مانند  Satacom Downloader، CurlyGate  و RobotDropper نیز شناخته می‌شود.

این بدافزار نقش بارگذار را دارد؛ یعنی می‌تواند زمینه دریافت و اجرای بدافزارهای دیگر را در سیستم آلوده فراهم کند. به همین دلیل، آلودگی اولیه ممکن است مقدمه‌ای برای اجرای مراحل مخرب بعدی باشد.

پژوهشگران در بررسی ROMULUS دو مسیر برای دریافت اسکریپت مرحله‌بندی پاورشل شناسایی کردند. این اسکریپت با توجه به شرایط، محموله بعدی را انتخاب می‌کند: یک فایل نصب MSI دست‌کاری‌شده یا یک آرشیو رمزگذاری‌شده حاوی Legion Loader

این ساختار به گردانندگان زیرساخت اجازه می‌دهد از یک بستر برای توزیع محموله‌های متفاوت استفاده کنند.

شناسایی شش نشانی IP مرتبط با ROMULUS

پژوهشگران Forescout شش نشانی IP مرتبط با این پلتفرم را شناسایی کرده‌اند. یکی از این نشانی‌ها، 96.62.224.81، پیش‌تر در کارزاری دیده شده بود که از GPTهای سفارشی مخرب ChatGPT برای هدایت کاربران به صفحات جعلی ClickFix استفاده می‌کرد.

این ارتباط نشان می‌دهد برخی زیرساخت‌ها یا اجزای مورد استفاده در حملات ClickFix ممکن است در کارزارهای مختلف نیز دیده شوند؛ با این حال، اشتراک یک نشانی IP به‌تنهایی برای اثبات یکسان بودن عاملان حملات کافی نیست.

همچنین، هویت گردانندگان ROMULUS مشخص نشده است. پژوهشگران احتمال می‌دهند این زیرساخت یک پنل خصوصی، سرویس تجاری مجرمانه، چارچوب همکاری میان مهاجمان یا نرم‌افزاری باشد که میان گردانندگان مختلف دست‌به‌دست شده است.

چگونه خطر حملات ClickFix را کاهش دهیم؟

یکی از ویژگی‌های مهم حملات ClickFix این است که کاربر را به اجرای دستی دستور مخرب متقاعد می‌کنند. بنابراین، مشاهده یک صفحه تأیید هویت یا پیام رفع خطا نباید به معنای امن بودن دستورهای پیشنهادی آن تلقی شود.

کاربران باید از اجرای دستورهایی که وب‌سایت‌های ناشناس برای وارد کردن در پنجره Run یا محیط پاورشل پیشنهاد می‌کنند، خودداری کنند. سازمان‌ها نیز می‌توانند با پایش اجرای غیرعادی پاورشل، بررسی فرایندهای دریافت فایل و شناسایی رفتارهای مشکوک پس از اجرای اسکریپت‌ها، احتمال آلودگی را کاهش دهند.

شناسایی ROMULUS نشان می‌دهد حملات ClickFix می‌توانند از یک روش فریب کاربران فراتر بروند و به زیرساختی قابل استفاده مجدد برای توزیع چند نوع بدافزار تبدیل شوند. در چنین شرایطی، بررسی زنجیره اجرای کد و شناسایی رفتارهای مشکوک پس از اجرای دستورها، بخش مهمی از فرایند مقابله با این حملات خواهد بود.