Phân tích nền tảng phát tán mã độc ROMULUS và kỹ thuật ClickFix

Các nhà nghiên cứu bảo mật từ Forescout Vedere Labs vừa công bố báo cáo phân tích chi tiết về ROMULUS, một nền tảng mới chuyên phát tán mã độc thông qua các bẫy ClickFix với nhiều kỹ thuật qua mặt phòng thủ tinh vi.

Phương thức hoạt động của nền tảng ROMULUS

ROMULUS đóng vai trò là một hệ thống phân phối phụ trợ có khả năng tái sử dụng, giúp kẻ tấn công linh hoạt thay đổi payload mã độc trong các chiến dịch. Nền tảng này kết hợp script PowerShell ẩn, trình cài đặt phần mềm bị can thiệp và các kho lưu trữ mã hóa để thực hiện hành vi xâm nhập hệ thống. Để phát tán, các đường dẫn lây nhiễm sử dụng token 12 ký tự nhằm truy xuất script dàn dựng hoặc tệp cài đặt MSI độc hại.

Nghiên cứu ghi nhận hai chuỗi tấn công chính được hỗ trợ bởi nền tảng này. Điểm cốt lõi trong các cuộc tấn công là lợi dụng thao tác thủ công của người dùng, qua đó biến một lượt duyệt web thông thường thành bước khởi đầu cho sự cố bảo mật.

Chuỗi tấn công thứ nhất: Giả mạo phần mềm và DLL Sideloading

Trong kịch bản đầu tiên, kẻ tấn công tiến hành giả mạo trình cài đặt của phần mềm Stardock Smart DeElevation Tool. Tệp MSI độc hại được tải về thông qua một địa chỉ IP viết dưới dạng số thập phân thay vì định dạng tiêu chuẩn nhằm qua mặt các bộ lọc mạng.

Sau khi hoàn tất quá trình cài đặt, hệ thống sẽ thực thi một tệp tin hợp pháp nhưng đồng thời tải lên một tệp DLL đã bị vá từ cùng thư mục. Kỹ thuật DLL sideloading này giúp kẻ tấn công chạy mã độc ẩn giấu thông qua một tiến trình đáng tin cậy, từ đó vô hiệu hóa các cơ chế kiểm soát ứng dụng.

Chuỗi tấn công thứ hai: Kho lưu trữ mã hóa và tệp dung lượng lớn

Kịch bản thứ hai tập trung vào việc tải xuống một kho lưu trữ được bảo vệ bằng mật khẩu đi kèm tiện ích dòng lệnh 7-Zip hợp pháp, giúp che giấu cấu trúc bên trong trước các công cụ quét bảo mật truyền thống.

Đặc biệt, tệp thực thi sau khi giải nén có kích thước vượt mốc 882 MB do chứa lượng dữ liệu đệm lớn. Kỹ thuật này được áp dụng nhằm đánh lừa các hệ thống sandbox hoặc vượt qua giới hạn dung lượng quét của các giải pháp bảo mật.

Biện pháp phòng ngừa và khuyến nghị an ninh

Trước sự bùng nổ của các chiến dịch sử dụng nền tảng ROMULUS, các đội ngũ vận hành an ninh mạng cần chủ động rà soát hệ thống, đặc biệt chú ý đến các tệp tin có dung lượng lớn từng bị bỏ qua trong quá trình quét tự động. Đồng thời, người dùng tuyệt đối không làm theo các hướng dẫn yêu cầu thực thi lệnh trên trình duyệt với chiêu bài "xác thực" hay "sửa lỗi" để tránh sập bẫy mã độc.