北京
一个假的"人机验证"页面，让你自己把命令粘进运行框。这不是新套路，但背后的投递平台换了新面孔——ROMULUS。
Forescout 旗下 Vedere Labs 的研究人员在调查一起独立事件时发现了这个平台，并于 2026年10月15日 发布分析。他们找到 6个IP地址 暴露了同一个登录面板，并拆解了两条投递链。运营者身份未知，也没有证据把这个平台和另外被单独报告的 RomulusLoader 联系起来。
ClickFix 的手法是把浏览器访问变成一次 Windows 感染的起点：伪造的验证提示或"修复指引"诱导用户亲手执行命令。ROMULUS 看起来不是为单一载荷搭建的服务器，而是一个可复用的投递后端。
调查还把这条链和 Huntress 此前描述过的一个活动串了起来——那批活动滥用 ChatGPT 自定义 GPT，用 AI 页面把访客引向 ClickFix 陷阱。ROMULUS 的路由使用 12位字符的 token 来拉取 PowerShell 暂存脚本或恶意 MSI 安装包。研究人员无法确认这些 token 标识的是受害者、活动、任务分配还是投递作业。
一个暴露的统计页面追踪了独立安装数、总运行次数、14天 历史记录和国家分布。这些功能可以帮助运营者衡量活动效果。但现有证据不足以判定 ROMULUS 是私有工具、付费犯罪服务、联盟体系，还是不同团伙之间共享的软件。
两条投递链，同一套设计
两份被还原的脚本用了相同的基本设计：先从大数组的数字里重建隐藏代码，再交给 PowerShell 执行。每个脚本退出前都会自删除。通过更换密钥和变量名，单个样本呈现出不同外观，但整体执行模式保持一致。
第一条路由通过一个写成十进制数字的 IP 地址下载 MSI，而不是常见的点分格式。它把安装包存进临时文件夹，解除下载文件限制，然后静默启动 Windows Installer。这个包伪装成 Stardock Smart DeElevation Tool，安装后启动一个真实的可执行文件。
该程序从自身目录加载一个被篡改的 DLL，再由这个 DLL 拉入恶意加载器。这条 DLL 侧加载链让攻击者用合法软件作为有害执行的起点。
第二条路由隐藏 PowerShell 窗口，下载一个加密压缩包，同时带上合法的 7-Zip 命令行工具。一个带密码的压缩包里还套着另一个压缩包，后者的密码来自随附的文本文件。加密的压缩包头让没有密码的扫描器看不到文件名和内容。
解压出的可执行文件大小为 882,716,672 字节，但其中大部分体积来自重定位段里反复填充的数据。一个不到 1MB 的压缩包，因此可以膨胀成一个足以超过某些上传限制、沙箱预算或扫描阈值的文件。这是一种规避手法，并不证明每个安全产品都失效了。
两个解包阶段使用 AES 加密，并在把 LegionLoader 载入内存前反转解密后的字节。研究人员还发现 5个用途不明 的二进制文件。
LegionLoader 会注册受感染系统、接收命令、支持 PowerShell 执行，并处理额外的载荷下载。它还会访问 Chrome 的 Local State 密钥材料，收集敏感的浏览器信息。其命令流量使用 RC4 加密和 Base64 编码，藏在被标记为普通网页表单的请求里。
防御方该看哪里
Forescout 建议检查 PowerShell 脚本日志、从临时文件夹发起的静默 MSI 安装、异常的 DLL 加载，以及体积过大的可执行文件。
在网络可见性足够的情况下，防御方可以搜寻那些只含一个 Base64 数据块、而非正常字段的表单请求。相关研究也强调，把浏览器活动、脚本执行和后续网络流量串起来看，比孤立对待每个事件更有价值。
用户应当关闭那些要求执行命令的验证页面。安全团队也应复查因体积限制而被跳过的文件。没有任何单一指标可以替代对进程、文件和网络证据的整体审查。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
