ROMULUS: la piattaforma ClickFix che consegna malware su sei server

Tutti i dettagli tecnici provengono da un singolo articolo di Infosecurity Magazine che riporta ricerca Vedere Labs; il blog post originale del vendor non è risultato accessibile al momento della stesura.

I ricercatori di Vedere Labs, il team di ricerca di Forescout, hanno scoperto ROMULUS durante un'indagine su un incidente. Hanno identificato una nuova piattaforma di consegna malware che trasforma la tecnica ClickFix da ingegneria sociale isolata in infrastruttura riutilizzabile. La piattaforma opera su sei server distinti e distribuisce payload multipli, incluso LegionLoader, sfruttando file eseguibili artificialmente gonfiati a circa 842 MiB.

Da comando copia-incolla a backend condiviso

La tecnica ClickFix si è diffusa come schema di ingegneria sociale che induce gli utenti a copiare e incollare comandi PowerShell o istruzioni manuali forniti da pagine web malevole o annunci pubblicitari compromessi. Poiché l'esecuzione finale avviene tramite l'utente legittimo, le protezioni automatizzate registrano l'azione come autorizzata, riducendo la superficie di rilevamento.

Secondo i ricercatori, i cybercriminali hanno adattato questa tattica in un ecosistema intero. ROMULUS rappresenta il passaggio successivo: un backend di delivery condiviso che operatori diversi possono riutilizzare per distribuire payload distinti. La piattaforma non è vincolata a un singolo malware o a una singola campagna, ma funziona come infrastruttura generica di infezione.

"Cybercriminals have started to adapt campaigns that deploy ClickFix tactics into an entire ecosystem which can be repeatedly used to deliver multiple forms of malware to victims"
— Vedere Labs/Forescout Research, riportato da Infosecurity Magazine

Sei server e architettura distribuita

Gli analisti hanno identificato sei server distinti che eseguono ROMULUS. Questa molteplicità è significativa: un server unico hard-coded renderebbe la scoperta e il takedown operazioni lineari. La presenza di molteplici nodi indica un'architettura progettata per resistenza alla disruption.

I ricercatori valutano che i sei server potrebbero indicare gestione come toolkit per un'ampia gamma di cybercriminali. Resta non quantificato se i server siano controllati da un singolo attore o da multipli clienti di un servizio comune. Il termine "at scale" usato dai ricercatori è una valutazione qualitativa, non un dato numerico verificato su volume di infezioni o numero di operatori.

842 MiB come tecnica di evasione

Una route di distribuzione documentata ha veicolato LegionLoader — un downloader di secondo stadio per l'installazione di payload ulteriori — impacchettato in archivi crittografati. All'interno dell'archivio, l'eseguibile era stato artificialmente gonfiato a circa 842 MiB.

La logica dell'evasione è meccanica. Molti sistemi di scanning automatico impongono limiti dimensionali ai file sottoposti a analisi: file che superano soglie prestabilite vengono esclusi dall'ispezione approfondita. I ricercatori valutano che un eseguibile di 842 MiB possa transitare attraverso controlli che bloccherebbero file di dimensioni standard. Questa valutazione non deriva da test empirici su strumenti specifici.

La combinazione di archivi crittografati — che impediscono l'ispezione del contenuto — e file gonfiati — che sfidano i limiti di elaborazione — costituisce una strategia doppia contro le difese automatizzate, pur mantenendo bassa la complessità tecnica richiesta all'attaccante.

Perché è importante

I ricercatori non hanno documentato misure correttive specifiche né indicazioni operative. Non hanno specificato la natura esatta dei dati eventualmente esposti dalle infezioni LegionLoader, né le conseguenze post-infezione oltre al download di payload aggiuntivi.

Ciò che emerge con chiarezza è la direzione del threat landscape. ClickFix è particolarmente insidioso perché externalizza il bypass delle difese sull'utente legittimo: nessuna vulnerabilità da patchare, nessun exploit da firmare, solo ingegneria sociale che sfrutta la fiducia nel proprio comportamento.

ROMULUS aggiunge a questo modello la componente industriale: un backend riutilizzabile che abbassa il costo operativo per gli attaccanti e aumenta la velocità di pivot tra payload. La separazione tra infrastruttura di delivery e payload finale complica l'attribuzione e la risposta.

"ROMULUS is a reusable delivery backend rather than a single hard-coded malware server, suggesting it is being used at scale"
— Vedere Labs/Forescout Research, riportato da Infosecurity Magazine

L'identità dell'operatore dietro la piattaforma e la proprietà comune delle famiglie malware finali restano sconosciute. ROMULUS è separato da RomulusLoader, forma di malware identificata da Proofpoint all'inizio del 2026: l'omonimia è casuale e i ricercatori hanno esplicitato la distinzione per evitare confusione.

Cosa cambia

I ricercatori non hanno fornito indicazioni operative. La sezione seguente descrive implicazioni concettuali derivanti dai fatti documentati, senza prescrivere azioni specifiche.

La natura riutilizzabile di ROMULUS solleva questioni sulla misurabilità della minaccia. Quando un'unica infrastruttura serve payload multipli, le statistiche di infezione per famiglia malware perdono precisione: lo stesso server può ospitare oggi LegionLoader e domani un payload diverso, senza che la transizione lasci tracce evidenti nei dati pubblici.

La tecnica del file gonfiato a 842 MiB, inoltre, suggerisce che i vincoli di risorse degli strumenti di sicurezza — limiti dimensionali imposti per ragioni di efficienza operativa — possano essere trasformati in vettori di evasione. I ricercatori non hanno testato quali strumenti specifici siano vulnerabili a questa tecnica.

Infine, la dipendenza di ClickFix dall'azione umana legittima rende la minaccia intrinsecamente difficile da contrastare con controlli tecnici automatizzati. La linea di difenda si sposta verso la consapevolezza dell'utente, ma i ricercatori non hanno quantificato l'efficacia di interventi di formazione in questo specifico contesto.