كشف باحثون في مجال الأمن السيبراني عن منصة جديدة لتوزيع البرمجيات الخبيثة تحمل اسم ROMULUS، تُستخدم في نشر مجموعة متنوعة من التهديدات الرقمية، أبرزها أداة التحميل الخبيثة Legion Loader، وذلك عبر الاعتماد على أسلوب الهندسة الاجتماعية المعروف باسم ClickFix الذي شهد انتشارًا واسعًا خلال العامين الماضيين.
ووفقًا لتحليل نشرته شركة Forescout عبر مختبراتها الأمنية Vedere Labs، فإن ROMULUS تمثل بنية متكاملة لتوصيل البرمجيات الخبيثة إلى الضحايا، حيث تستخدم صفحات هبوط مزيفة وإغراءات رقمية مصممة بعناية لدفع المستخدمين إلى تنفيذ أوامر ضارة على أجهزتهم بأنفسهم، وهو ما يقلل من الحاجة إلى استغلال ثغرات تقنية معقدة ويزيد من معدلات نجاح الهجمات.
ويرى الباحثون أن ROMULUS قد تكون منصة يديرها فاعل تهديد واحد بشكل خاص، أو خدمة إجرامية تجارية متاحة لمجموعات قرصنة متعددة، أو إطار عمل يستخدمه شركاء تابعون لجهات إجرامية مختلفة، كما لا يُستبعد أن تكون أدواتها قد انتقلت بين عدة جهات فاعلة في عالم الجرائم الإلكترونية.
كيف تعمل منصة ROMULUS؟
تعتمد ROMULUS على أسلوب ClickFix، وهو أحد أكثر أساليب الهندسة الاجتماعية تطورًا خلال الفترة الأخيرة. وفي هذا النوع من الهجمات، يتم عرض صفحة ويب مزيفة للمستخدم تتظاهر بوجود مشكلة تقنية أو إجراء أمني مطلوب، ثم يُطلب منه نسخ أو تشغيل أوامر معينة على جهازه لحل المشكلة المزعومة.
لكن ما يحدث فعليًا هو أن الضحية تمنح المهاجم نقطة دخول مباشرة إلى النظام، حيث يتم تنزيل وتشغيل برامج خبيثة دون الحاجة إلى استغلال ثغرات في نظام التشغيل أو التطبيقات المستخدمة.
وبحسب التحليل الأمني، توفر المنصة نقطتي وصول رئيسيتين لتنزيل نصوص PowerShell تمهيدية، تتولى بدورها تحديد الحمولة الخبيثة التي سيتم تحميلها لاحقًا وفقًا لطبيعة الهدف أو الحملة الجارية.
وتشير الأدلة إلى أن هذه الآلية تسمح للمهاجمين بتغيير البرمجيات المستخدمة في الهجمات بسرعة كبيرة دون الحاجة إلى تعديل البنية التشغيلية الأساسية للمنصة.
ارتباطات بحملات سابقة واستغلال ChatGPT
حددت Forescout ستة عناوين IP مرتبطة بتشغيل بنية ROMULUS، وكشفت أن أحد هذه العناوين، وهو 96.62.224[.]81، كان قد ظهر سابقًا ضمن حملة مختلفة استخدمت ملفات تثبيت MSI خبيثة ونصوص ClickFix ضارة.
وتكتسب هذه المعلومة أهمية خاصة لأن العنوان ذاته ارتبط سابقًا بحملة اعتمدت على إساءة استخدام نسخ مخصصة من ChatGPT، حيث جرى توجيه الضحايا إلى روابط مزيفة تحتوي على صفحات ClickFix الخادعة.
كما رصد الباحثون خادمًا آخر يحمل العنوان 86.109.75[.]7، استُخدم في الوقت نفسه لاستضافة لوحة إدارة تحمل الاسم الرمزي ROMULUS، إلى جانب توزيع البرمجيات الخبيثة نفسها، وهو ما عزز الربط بين النشاطين وأكد وجود منصة تشغيل موحدة وراء هذه العمليات.
ورغم التشابه في الاسم، شدد التقرير على عدم وجود أي مؤشرات تربط منصة ROMULUS الحالية ببرمجية RomulusLoader المعروفة في الأوساط الأمنية، والتي نُسبت سابقًا إلى مجموعة Silver Fox المرتبطة بالصين.
Legion Loader في قلب الهجمات
أظهرت التحليلات أن سلسلة العدوى المرتبطة بـ ROMULUS تنتهي في كثير من الأحيان بتثبيت Legion Loader، المعروف أيضًا باسم Satacom Downloader، وهو محمل برمجيات خبيثة متخصص في جلب وتشغيل حمولات إضافية من خوادم بعيدة.
وتتضمن الحملة كذلك توزيع برمجيات أخرى مثل CurlyGate وRobotDropper، ما يشير إلى أن المنصة لا تعتمد على عائلة برمجية واحدة، بل تعمل كمركز توزيع متعدد الحمولات يمكنه تكييف الهجمات حسب الأهداف المطلوبة.
ويلجأ المشغلون إلى أساليب متقدمة لتفادي التحليل الأمني، من بينها استخدام أرشيفات مشفرة تحتوي على Legion Loader، ثم تضخيم حجم هذه الملفات إلى ما يقارب جيجابايتًا كاملًا عبر حشوها ببيانات متكررة وعديمة القيمة.
ويهدف هذا الأسلوب إلى تجاوز حدود رفع الملفات المفروضة في بعض البيئات الأمنية، واستنزاف موارد أنظمة التحليل الآلي وصناديق الاختبار Sandboxes، فضلًا عن عرقلة أدوات التحليل الساكن التي تواجه صعوبة في التعامل مع الملفات الضخمة.
وبمجرد تشغيل المحمل الخبيث، يبدأ الاتصال بخوادم القيادة والتحكم لتنزيل برامج إضافية قد تشمل برمجيات تجسس أو أدوات سرقة بيانات أو أبوابًا خلفية تتيح للمهاجمين الوصول الطويل الأمد إلى الأجهزة المصابة.
ClickFix يتحول من خدعة إلى منصة هجوم متكاملة
تكشف تفاصيل ROMULUS عن تطور ملحوظ في مشهد التهديدات الرقمية، حيث لم يعد ClickFix مجرد أسلوب خداعي لإقناع الضحايا بتنفيذ أوامر ضارة، بل أصبح نقطة دخول متكاملة ضمن سلاسل هجوم احترافية تدعم توزيع أنواع متعددة من البرمجيات الخبيثة.
ويؤكد الباحثون أن نجاح هذه الهجمات يعود إلى استغلال العامل البشري أكثر من الثغرات التقنية، إذ يقتنع المستخدم بأنه يحل مشكلة حقيقية أو ينفذ إجراء أمنيًا مشروعًا، بينما يكون في الواقع بصدد تشغيل تعليمات تمنح المهاجم السيطرة على جهازه.
ولذلك ينصح خبراء الأمن السيبراني المؤسسات وفرق الاستجابة للحوادث بمراقبة أوامر PowerShell المشبوهة، وتتبع أنشطة تحميل الملفات غير المعتادة، بالإضافة إلى رصد محاولات DLL Sideloading التي تُستخدم بشكل متكرر لإخفاء البرمجيات الخبيثة داخل برامج تبدو شرعية، وهو الأسلوب الذي يظل حاضرًا بقوة في العديد من الحملات الإجرامية الحديثة.
