ROMULUS แพลตฟอร์มส่งมัลแวร์ ClickFix ตัวใหม่ — เส้นทางหนึ่งยัด MSI ปลอมของ Stardock ทำ DLL sideloading อีกทางพองไฟล์เป็น 882 MB เลี่ยงการสแกนก่อนปล่อย LegionLoader

สรุปสั้น

ทีม Vedere Labs ของบริษัท Forescout เปิดเผย ROMULUS แพลตฟอร์มหลังบ้านตัวใหม่ที่ผู้โจมตีใช้ส่งมัลแวร์ผ่านกับดัก ClickFix ซึ่งหลอกให้ผู้ใช้วางและรันคำสั่งเองผ่านหน้ายืนยันตัวตนหรือคำแนะนำซ่อมปลอม แพลตฟอร์มนี้รองรับเส้นทางติดเชื้อหลายแบบจากระบบเดียว เส้นทางหนึ่งติดตั้ง MSI ที่ปลอมเป็นเครื่องมือของบริษัท Stardock แล้วอาศัยโปรแกรมของจริงโหลด DLL อันตรายด้วยเทคนิค DLL sideloading อีกเส้นทางดาวน์โหลดไฟล์บีบอัดที่เข้ารหัสซ้อนกันสองชั้น แตกออกมาเป็นไฟล์ปฏิบัติการขนาดกว่า 882 MB เพื่อให้เกินเพดานขนาดของเครื่องมือสแกน ก่อนโหลด LegionLoader เข้าหน่วยความจำ

นักวิจัยพบ IP 6 แห่งที่เปิดหน้าล็อกอินของแผงควบคุมเดียวกัน และโยง ROMULUS ได้กับแพ็กเกจที่บริษัท Huntress เคยรายงานในแคมเปญที่ใช้ Custom GPTs ของ ChatGPT ชี้ผู้ใช้ไปยังหน้า ClickFix หน้าสถิติที่เปิดทิ้งไว้แสดงจำนวนการติดตั้ง จำนวนการรัน ประวัติ 14 วัน และประเทศของเหยื่อ ซึ่งบ่งชี้ว่าเป็นระบบที่ออกแบบมาให้ใช้ซ้ำและวัดผลแคมเปญได้ อย่างไรก็ตามยังไม่ทราบตัวตนผู้ควบคุม และยังไม่มีหลักฐานว่าเป็นเครื่องมือส่วนตัว บริการให้เช่า หรือระบบที่หลายกลุ่มใช้ร่วมกัน

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า Forescout Vedere Labs พบ ROMULUS ระหว่างสืบสวนเหตุการณ์หนึ่งที่ไม่เกี่ยวข้องกัน และเผยแพร่บทวิเคราะห์เมื่อวันที่ 15 ตุลาคม 2569 นักวิจัยพบ IP 6 แห่งที่แสดงแผงล็อกอินเดียวกัน และตรวจสอบเส้นทางส่งมัลแวร์ 2 เส้นทางอย่างละเอียด Forescout ย้ำว่าไม่พบหลักฐานที่เชื่อมแพลตฟอร์มนี้กับมัลแวร์ RomulusLoader ที่มีรายงานแยกไปก่อนหน้า แม้ชื่อจะคล้ายกัน

การสืบสวนโยง ROMULUS เข้ากับแพ็กเกจที่ Huntress เคยอธิบายไว้ในแคมเปญที่ใช้ Custom GPTs ของ ChatGPT ชี้ผู้เยี่ยมชมไปยังกับดัก ClickFix (โพสต์ 2026/09/236) โดย IP 96.62.224[.]81 ที่ Huntress บันทึกว่าเป็นโหนดส่งมัลแวร์ ก็พบหน้าเว็บส่วนหน้าของ ROMULUS เช่นกัน ข้อนี้บ่งชี้ว่า ROMULUS ทำหน้าที่เป็นระบบหลังบ้านที่นำไปใช้ซ้ำได้ ไม่ใช่เซิร์ฟเวอร์ที่ทำมาเพื่อ payload ตัวเดียว เส้นทางของแพลตฟอร์มใช้ token ยาว 12 ตัวอักษรในการเรียกสคริปต์ PowerShell หรือไฟล์ MSI ซึ่งนักวิจัยยังยืนยันไม่ได้ว่า token ระบุเหยื่อ แคมเปญ หรืองานส่งมัลแวร์แต่ละครั้ง

หน้าสถิติที่เปิดทิ้งไว้บนเซิร์ฟเวอร์นับจำนวนการติดตั้งไม่ซ้ำ จำนวนการรันทั้งหมด ประวัติย้อนหลัง 14 วัน และประเทศ ซึ่งช่วยให้ผู้ควบคุมวัดผลแคมเปญได้ แต่หลักฐานที่มีอยู่ยังไม่ชี้ว่า ROMULUS เป็นเครื่องมือส่วนตัว บริการอาชญากรรมแบบเสียเงิน ระบบ affiliate หรือซอฟต์แวร์ที่หลายกลุ่มแบ่งกันใช้

วิธีการโจมตี

สคริปต์ที่กู้มาได้ทั้งสองเส้นทางใช้โครงเดียวกัน คือประกอบโค้ดที่ซ่อนไว้ขึ้นใหม่จากอาร์เรย์ตัวเลขขนาดใหญ่ก่อนส่งให้ PowerShell รัน และลบตัวเองก่อนจบการทำงาน การเปลี่ยนคีย์และชื่อตัวแปรทำให้แต่ละตัวอย่างหน้าตาต่างกันแต่ยังคงลำดับการทำงานเหมือนเดิม

เส้นทางแรกดาวน์โหลด MSI ผ่าน IP ที่เขียนเป็นตัวเลขฐานสิบก้อนเดียว (1450003207 แทน 86.109.75[.]7) แทนรูปแบบมีจุดที่คุ้นตา บันทึกไฟล์ลงโฟลเดอร์ชั่วคราว ลบเครื่องหมายไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ต แล้วสั่ง Windows Installer ติดตั้งแบบเงียบ แพ็กเกจปลอมเป็น Stardock Smart DeElevation Tool และรันโปรแกรมของจริง (DeElevate64.exe) หลังติดตั้ง โปรแกรมนั้นโหลด DLL ที่ถูกแก้ไข (DeElevator64.dll) จากโฟลเดอร์เดียวกัน ซึ่งไปดึงตัวโหลดอันตรายอีกทอดหนึ่ง วิธีนี้ทำให้ผู้โจมตีใช้ซอฟต์แวร์ที่ถูกกฎหมายเป็นจุดเริ่มการรันโค้ด

เส้นทางที่สองซ่อนหน้าต่าง PowerShell แล้วดาวน์โหลดไฟล์บีบอัดที่เข้ารหัสมาพร้อมโปรแกรม 7-Zip แบบ command line ของจริง ไฟล์บีบอัดที่ตั้งรหัสผ่านมีอีกไฟล์ซ้อนอยู่ข้างใน โดยรหัสผ่านของชั้นในเก็บอยู่ในไฟล์ข้อความที่แนบมาด้วย และ header ของไฟล์บีบอัดถูกเข้ารหัสจนเครื่องสแกนที่ไม่มีรหัสผ่านมองไม่เห็นชื่อและเนื้อไฟล์ ไฟล์ปฏิบัติการที่แตกออกมามีขนาด 882,716,672 ไบต์ แต่ส่วนใหญ่เป็นข้อมูลถมซ้ำใน relocation section ไฟล์บีบอัดขนาดไม่ถึง 1 MB จึงขยายเป็นไฟล์ที่ใหญ่เกินเพดานการอัปโหลด งบของแซนด์บ็อกซ์ หรือเกณฑ์การสแกนของบางระบบ Forescout ระบุว่านี่เป็นเทคนิคหลบเลี่ยง ไม่ใช่หลักฐานว่าผลิตภัณฑ์ความปลอดภัยทุกตัวพลาด

การแกะสองขั้นใช้ AES และกลับลำดับไบต์ที่ถอดรหัสแล้ว ก่อนโหลด LegionLoader เข้าหน่วยความจำ LegionLoader ลงทะเบียนเครื่องที่ติดเชื้อ รับคำสั่ง รัน PowerShell และดาวน์โหลด payload เพิ่ม รวมถึงเข้าถึงข้อมูลกุญแจใน Chrome Local State เพื่อเก็บข้อมูลอ่อนไหวในเบราว์เซอร์ การสื่อสาร C2 กับ smashshape[.]com ผ่าน /nfront.php และ /nback.php เข้ารหัสด้วย RC4 และเข้ารหัส Base64 แฝงในคำขอที่ทำทีเป็นฟอร์มเว็บธรรมดา นักวิจัยยังพบไฟล์ไบนารีอีก 5 ไฟล์ที่ยังไม่ทราบหน้าที่

ผลกระทบ

ROMULUS สะท้อนว่า ClickFix ได้กลายเป็นอุตสาหกรรมที่มีระบบหลังบ้านใช้ซ้ำได้ ผู้ควบคุมสลับ payload และเส้นทางติดเชื้อได้ตามต้องการ และมีหน้าสถิติวัดผลเหมือนแพลตฟอร์มการตลาด ประตูเข้ายังเป็นผู้ใช้ที่รันคำสั่งด้วยตัวเอง ทั้งจากหน้าเว็บที่ถูกเจาะและบริการที่ผู้ใช้ไว้ใจอย่าง Custom GPTs ของ ChatGPT

เทคนิคหลบเลี่ยงที่ใช้ซ้อนกันหลายชั้น ทั้ง IP เลขฐานสิบ MSI ที่ใช้โปรแกรมจริงเป็นตัวรัน ไฟล์บีบอัดเข้ารหัส header และไฟล์พองขนาดเกินเพดานสแกน ทำให้ระบบที่ดูแค่ไฟล์เดียวหรือข้ามไฟล์ใหญ่โดยอัตโนมัติพลาดได้ง่าย เมื่อ LegionLoader เข้าเครื่องได้ ผู้โจมตีสามารถขโมยข้อมูลเบราว์เซอร์และส่ง payload อื่นตามมาได้อีก

คำแนะนำ

• ตรวจ PowerShell Script Block Logging หาสคริปต์ที่ประกอบโค้ดจากอาร์เรย์ตัวเลขและลบตัวเองหลังรัน รวมถึงการเรียก URL ด้วย IP เลขฐานสิบ
• เฝ้าระวังการติดตั้ง MSI แบบเงียบจากโฟลเดอร์ชั่วคราว และโปรแกรมที่ถูกกฎหมายโหลด DLL จากโฟลเดอร์ที่ผิดปกติ
• ตรวจสอบไฟล์ที่ระบบความปลอดภัยข้ามไปเพราะเกินเพดานขนาด และตั้งการแจ้งเตือนเมื่อพบไฟล์ปฏิบัติการขนาดใหญ่ผิดปกติที่แตกมาจากไฟล์บีบอัดขนาดเล็ก
• หากมองเห็นทราฟฟิกเครือข่าย ให้ล่าคำขอฟอร์มเว็บที่มีก้อน Base64 ก้อนเดียวแทนฟิลด์ปกติ และบล็อกโดเมนและ IP ในตาราง IoCs
• สอนผู้ใช้ให้ปิดหน้าเว็บทันทีเมื่อหน้ายืนยันตัวตนหรือหน้าแก้ปัญหาขอให้รันคำสั่ง และพิจารณาจำกัดการใช้ Run dialog กับ PowerShell สำหรับผู้ใช้ทั่วไป
• เชื่อมโยงเหตุการณ์ในเบราว์เซอร์ การรันสคริปต์ และทราฟฟิกที่ตามมาเข้าด้วยกัน แทนการพิจารณาแต่ละเหตุการณ์แยกกัน

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.], hxxp) ก่อนนำไปใช้ต้องแปลงกลับ · Forescout ระบุว่าตัวบ่งชี้ไม่ควรใช้แทนการตรวจบริบทของ process ไฟล์ และเครือข่ายร่วมกัน

เครือข่ายและการส่งมัลแวร์

SHA-256 (คัดตัวหลัก)

แหล่งอ้างอิง

• ROMULUS: Analysis of a new multi-payload ClickFix delivery platform — Forescout
• Hackers Use New ROMULUS ClickFix Platform to Deliver Malware and Evade Security Detection — Cyber Security News