新型ROMULUS恶意软件平台使用六台服务器投放多个恶意载荷

该发现将最近记录在案的 ChatGPT 自定义 GPT 滥用活动的基础设施与一起独立调查的事件联系起来，暴露了一个可重用的后端，该后端能够传递不同的恶意载荷。

调查始于研究人员在 86.109.75[.]7 上发现恶意软件，该恶意软件与之前通过 96.62.224[.]81 分发的样本相匹配。

Huntress 将后一个服务器与滥用自定义 GPT 的攻击者联系起来，这些攻击者将受害者引导至虚假的验证页面，ClickFix 的指示诱使用户执行恶意 PowerShell 命令。其 9 月 28 日的报告记录了 Canon 和 Stardock 应用程序被滥用进行 DLL 侧加载的情况。VirusTotal 和 Shodan 搜索发现了六个 IP 地址，这些地址暴露了匹配的 ROMULUS 身份验证面板。他们的登录页面向服务器提交凭据/api/login，存储返回的令牌，并将已验证的用户重定向到控制面板。一台服务器还公开了/stats.htm独特的安装、总执行次数、历史活动和地理分布情况。不同的令牌选择了不同的有效载荷路径，这表明交付基础设施是可配置的，而不是专用于某一恶意软件家族的服务器。

恢复的脚本共享分层整数数组混淆，通过 重建可执行代码[scriptblock]::Create，并在执行后删除自身。

有效载荷特定的逻辑有所不同，而底层暂存模板保持一致。

使用十进制 IPv4 表示法下载的 Stardock 路由IconEdit2Turb.msi，将 86.109.75[.]7 表示为1450003207.

安装程序启动时看似合法DeElevate64.exe，但加载了一个已打补丁的文件DeElevator64.dll。添加的依赖项将执行重定向到恶意程序I++u.dll。

Huntress 记录了相同的组件，后续的加载阶段使用Build.dat加密的有效载荷存储来部署远程访问木马。

第二条路线从GitHub获取加密存档orbitflownetwork[.]lol并下载合法文件。7zr.exe

两个受密码保护的归档层最终揭示了五个高熵二进制文件和一个大小为 882,716,672 字节的可执行文件。

该可执行文件的大部分内容都是由重复的填充代码组成.reloc。这使得一个小于 1 MB 的压缩包能够扩展成一个可能超出扫描限制、沙箱预算或上传阈值的文件。

使用 AES-256 解密嵌入的 shellcode，对有意义的可执行内容进行逆向解密缓冲区，并手动映射最终的 LegionLoader 有效载荷。

Malpedia 还将 LegionLoader 记录为 Satacom、CurlyGate 和 RobotDropper。

分析的 LegionLoader 配置被确定smashshape[.]com为其命令服务器，用于/nfront.php注册和任务分配以及/nback.php结果查询。

尽管声明了加密方式，但消息仍然使用了 RC4 加密，然后进行 Base64 编码application/x-www-form-urlencoded。AhnLab 此前已记录了这些端点角色、加密模式和 Chrome 数据收集功能。

防御者应优先防范从以下位置执行的冗长 PowerShell 脚本%TEMP%、十进制 IP 下载、隐藏的执行标志、静默 MSI 安装以及包含单个 Base64 blob 的 form-urlencoded POST 请求。

将这些行为与进程的起源关联起来，比单独使用文件名能提供更强的覆盖范围。

攻击者身份仍未确定。共享基础设施并不能证明所投放恶意软件的所有权相同，调查人员也没有发现任何证据表明该平台与Proofpoint公司单独记录的RomulusLoader程序有关。