ROMULUS悪用によるClickFix攻撃とLegion Loader配布の手口

The Hacker Newsの報道によると、偽の誘導画面を使って利用者に悪意あるコマンドを実行させるClickFix配信基盤「ROMULUS」が確認されました。この基盤を通じてLegion Loaderなどのマルウェアが拡散されており、侵入を許すと外部からさらなる不正プログラムを送り込まれる危険があります。

The Hacker News：Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malware

従業員が偽の画面表示に騙されてPowerShellコマンドを実行してしまう手口への耐性を確かめたい場合は、CyberCrewのソーシャルエンジニアリング診断をご検討ください。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

ClickFix型の偽誘導画面にアクセスし、提示されたコマンドを実行してしまう端末環境
PowerShellの実行制限やDLLサイドローディングの監視が行われていないWindows環境

推奨される対策

端末ログから不審なPowerShellコマンドの実行履歴を調査・検知する
正規プロセスを悪用したDLLサイドローディングの発生イベントを監視・追跡する

この記事に出てくる専門用語

ROMULUS：攻撃者がClickFixの手口を用いてマルウェアを送り込むために運用している配信基盤です。今回の事案で複数のIPアドレス上で稼働が確認されました。
ClickFix：偽のエラーメッセージや修正案内を表示し、利用者にコマンドをコピー＆ペーストさせて実行させる攻撃手口です。今回の感染の起点として利用されています。
Legion Loader：別名Satacom downloaderやCurlyGateとも呼ばれるマルウェアローダーです。感染後に外部サーバーと通信して追加の不正プログラムを取得・実行します。

ROMULUS基盤が悪用される手口とマルウェア配布の流れ

The Hacker Newsによると、サイバー攻撃者は「ROMULUS」と呼ばれる配信基盤を用いてLegion Loaderなどの不正プログラムを拡散させています。この攻撃ではClickFixと呼ばれるソーシャルエンジニアリングの手口が悪用されており、偽のランディングページ上で利用者に悪意あるコマンドを実行するよう仕向けます。

利用者が指示に従ってコマンドを実行すると、まずPowerShellスクリプトがダウンロードされます。攻撃者はこのスクリプトを通じて、マルウェアローダーを仕込んだ改ざん済みMSIインストーラーか、Legion Loaderを格納した暗号化アーカイブのいずれかを端末に送り込みます。

私たち診断側の視点では、ユーザー自身の操作によってコマンドを実行させる手口は、OSの境界防御を容易に突破される危険な侵入経路といえます。一度実行されれば、ローダーが外部サーバーと通信してさらなる不正モジュールを展開します。

検知回避のためにファイルサイズを約1GBに水増しする手口

The Hacker Newsの報道によると、ROMULUSから配布されるLegion Loader入りの暗号化アーカイブは、意図的なパディングによって約1GBまでファイルサイズが肥大化されています。この水増しは、セキュリティ製品による静的解析の上限やサンドボックスの検証制限を回避する目的で行われています。

多くの検査装置は、リソース消費を抑えるために一定サイズ以上の巨大ファイルをスキャン対象から除外する設定になっています。攻撃者はその仕様を逆手に取り、巨大なアーカイブを送りつけることで防護網をすり抜けようと試みます。

ファイルサイズの大きさだけで安全とみなす設計は見直しの盲点になりやすいところです。巨大なアーカイブであっても、内部から展開されるスクリプトの挙動そのものをエンドポイント上で捕捉する体制を整えます。

確認されたインフラと背後の脅威アクターに関する情報

The Hacker Newsによると、調査によってROMULUSの稼働が確認されたIPアドレスは6件特定されています。これらの中には、ChatGPTのカスタムGPTを悪用して偽URLへ誘導する別の攻撃キャンペーンと共通するインフラも含まれていました。

現時点でROMULUSを運用している背後の攻撃グループは特定されていません。また、中国関連の脅威グループ「Silver Fox（TA4922）」と関連付けられているマルウェア「RomulusLoader」とは名称が類似しているものの、直接の重複や関連性はないとされています。

攻撃インフラのIPアドレスは短期間で切り替わる可能性があるため、単純な接続先ブロックだけに依存するのは危険です。背後のアクターが不明であっても、使用される攻撃手法そのものに着目した防御を組み立てます。

不審なPowerShell実行とDLLサイドローディングを確認する手順

The Hacker Newsの報道では、今回の脅威に対抗するための具体的な対策として、不審なPowerShellコマンドの実行ログとDLLサイドローディングイベントの監視が挙げられています。端末上で予期しないコマンドが実行されていないかをまず洗い出します。

社内PCのイベントログやEDRのアラートから、ブラウザ経由で起動されたPowerShellプロセスや、難読化されたパラメータを含むコマンドライン引数を抽出します。また、正規アプリケーションのプロセスから不審なDLLが読み込まれていないかも同時に追跡します。

私たちなら、まずは業務時間外に発生した未承認のPowerShell起動ログから優先して精査を進めます。利用者が画面の指示に従ってペーストした痕跡がないかを早期に把握し、侵害拡大を防ぎます。

参考文献・記事一覧

The Hacker News「Hackers Use New ROMULUS ClickFix Platform to Deliver LegionLoader and Other Malware」

巧妙化するClickFix攻撃の侵入経路を塞ぎ、組織内の標的型攻撃への備えを固めるための診断メニューを用意しています。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。