Nueva plataforma ROMULUS abusa de señuelos ClickFix para propagar malware
Los atacantes están utilizando una nueva plataforma de distribución de malware llamada ROMULUS para engañar a los usuarios y que descarguen amenazas como LegionLoader. El método se basa en páginas de destino engañosas que imitan avisos legítimos de actualización de software.
Resumen
- ROMULUS es una nueva plataforma de malware-as-a-service que utiliza tácticas de ingeniería social al estilo ClickFix.
- Engaña a los usuarios para que ejecuten comandos maliciosos mediante páginas falsas de actualización de software.
- Se están distribuyendo LegionLoader y otras cargas útiles mediante este método.
- Las organizaciones deben capacitar al personal para verificar las actualizaciones de software a través de canales oficiales.
- Los equipos de seguridad deben supervisar redirecciones sospechosas y el uso no autorizado de PowerShell.
Los ciberdelincuentes han lanzado una nueva operación de distribución de malware denominada ROMULUS, la cual aprovecha técnicas engañosas de ingeniería social para comprometer a las víctimas. Esta plataforma funciona de forma similar a campañas anteriores de ClickFix, donde los usuarios son manipulados para ejecutar código malicioso en sus propios sistemas.
Según investigaciones realizadas por Vedere Labs de Forescout, ROMULUS opera dirigiendo a las víctimas hacia páginas de destino fraudulentas diseñadas para parecerse a interfaces rutinarias de mantenimiento de software. Estos señuelos convincentes instan a los visitantes a ejecutar comandos aparentemente inofensivos que en realidad instalan cargas útiles peligrosas como LegionLoader.
Cómo funciona ROMULUS
- ROMULUS utiliza páginas falsas de actualización de software para atraer a las víctimas y hacer que ejecuten scripts maliciosos
- La plataforma imita interfaces legítimas de soporte técnico para ganarse la confianza del usuario
- Las víctimas ejecutan sin saberlo comandos de PowerShell que descargan e instalan malware
- El acceso inicial se consigue mediante enlaces de phishing o sitios web comprometidos que alojan el marco de trabajo de ROMULUS
Recomendaciones defensivas
- Capacitar a los empleados para verificar todas las solicitudes de actualización de software a través de canales oficiales del proveedor
- Implementar políticas estrictas contra la ejecución de comandos de PowerShell no esperados
- Supervisar el tráfico de red en busca de conexiones a dominios maliciosos conocidos asociados con ROMULUS
- Desplegar soluciones de detección en puntos finales que alerten sobre patrones sospechosos de ejecución de scripts
- Auditar regularmente la configuración de seguridad del navegador para evitar descargas automáticas desde fuentes no confiables
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.