Nova Plataforma ROMULUS Abusa de Iscas ClickFix para Disseminar Malware
Atacantes estão usando uma nova plataforma de entrega de malware chamada ROMULUS para enganar usuários e fazer com que baixem ameaças como o LegionLoader. O esquema depende de páginas de destino enganosas que imitam avisos legítimos de atualização de software.
TL;DR
- ROMULUS é uma nova plataforma de malware-as-a-service que usa táticas de engenharia social no estilo ClickFix.
- Ela engana os usuários para executarem comandos maliciosos por meio de páginas falsas de atualização de software.
- LegionLoader e outras cargas maliciosas estão sendo distribuídas por esse método.
- As organizações devem treinar sua equipe para verificar atualizações de software apenas pelos canais oficiais.
- Equipes de segurança precisam monitorar redirecionamentos suspeitos e uso não autorizado do PowerShell.
Cibercriminosos lançaram uma nova operação de distribuição de malware chamada ROMULUS, que utiliza técnicas enganosas de engenharia social para comprometer vítimas. Essa plataforma funciona de maneira semelhante às campanhas anteriores do ClickFix, nas quais os usuários são manipulados para executar código malicioso em seus próprios sistemas.
De acordo com pesquisa da Vedere Labs, da Forescout, a ROMULUS opera direcionando as vítimas a páginas de destino fraudulentas projetadas para parecer interfaces comuns de manutenção de software. Essas iscas convincentes solicitam aos visitantes a execução de comandos aparentemente inofensivos que, na verdade, instalam cargas perigosas, como o LegionLoader.
Como a ROMULUS Funciona
- A ROMULUS usa páginas falsas de atualização de software para atrair vítimas e fazê-las executar scripts maliciosos
- A plataforma imita interfaces legítimas de suporte técnico para ganhar a confiança do usuário
- As vítimas executam, sem saber, comandos do PowerShell que baixam e instalam malware
- O acesso inicial é obtido por meio de links de phishing ou sites comprometidos que hospedam a estrutura da ROMULUS
Recomendações de Defesa
- Treine os funcionários para verificar todas as solicitações de atualização de software por meio dos canais oficiais dos fornecedores
- Implemente políticas rigorosas contra a execução de comandos inesperados do PowerShell
- Monitore o tráfego de rede em busca de conexões com domínios maliciosos conhecidos associados à ROMULUS
- Implante soluções de detecção em endpoints que sinalizem padrões suspeitos de execução de scripts
- Realize auditorias regulares nas configurações de segurança do navegador para evitar downloads automáticos de fontes não confiáveis
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.