{"id":9786,"date":"2026-10-22T13:38:56","date_gmt":"2026-10-22T11:38:56","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=9786"},"modified":"2026-10-22T13:38:56","modified_gmt":"2026-10-22T11:38:56","slug":"romulus-prikrivena-isporuka","status":"publish","type":"post","link":"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/","title":{"rendered":"ROMULUS: prikrivena isporuka zlonamjernog softvera"},"content":{"rendered":"<p>Istra\u017eiva\u010di kompanije <em>Forescout<\/em> <a href=\"https:\/\/www.forescout.com\/blog\/romulus-analysis-of-a-new-multi-payload-clickfix-delivery-platform\/https:\/www.forescout.com\/blog\/romulus-analysis-of-a-new-multi-payload-clickfix-delivery-platform\/\" target=\"_blank\" rel=\"noopener\">otkrili su platformu <em>ROMULUS<\/em><\/a>, koju zlonamjerni akteri koriste za \u0161irenje zlonamjernog softvera, uz metode osmi\u0161ljene da zaobi\u0111u bezbjednosne provjere i neprimjetno inficiraju ure\u0111aje. Ko stoji iza ove platforme za sada ostaje nepoznato.<\/p>\n<div id=\"attachment_9792\" style=\"width: 1210px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-9792\" class=\"size-full wp-image-9792\" src=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera.jpg\" alt=\"ROMULUS\" width=\"1200\" height=\"896\" srcset=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera.jpg 1200w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera-300x224.jpg 300w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera-1024x765.jpg 1024w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera-768x573.jpg 768w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/10\/ROMULUS-prikrivena-isporuka-zlonamjernog-softvera-16x12.jpg 16w\" sizes=\"auto, (max-width: 1200px) 100vw, 1200px\" \/><p id=\"caption-attachment-9792\" class=\"wp-caption-text\"><em>ROMULUS: prikrivena isporuka zlonamjernog softvera; Source: Nano Banana 2<\/em><\/p><\/div>\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-custom ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Sadr\u017eaj<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #ffffff;color:#ffffff\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewbox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #ffffff;color:#ffffff\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewbox=\"0 0 24 24\" version=\"1.2\" baseprofile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#PLATFORMA_ROMULUS\" >PLATFORMA ROMULUS<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#Arhitektura_pozadinskog_sistema_za_isporuku\" >Arhitektura pozadinskog sistema za isporuku<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#Vektor_bocnog_ucitavanja\" >Vektor bo\u010dnog u\u010ditavanja<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#Razotkrivanje_sifrovanog_lanca\" >Razotkrivanje \u0161ifrovanog lanca<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#Izbjegavanje_otkrivanja_kroz_prikrivanje_i_obmanu\" >Izbjegavanje otkrivanja kroz prikrivanje i obmanu<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#ZAKLJUCAK\" >ZAKLJU\u010cAK<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"http:\/\/sajberinfo.com\/en\/2026\/10\/22\/romulus-prikrivena-isporuka\/#PREPORUKE\" >PREPORUKE<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"PLATFORMA_ROMULUS\"><\/span><strong>PLATFORMA <em>ROMULUS<\/em><\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Pojava platforme <em>ROMULUS<\/em> kao sistema za isporuku <a href=\"https:\/\/sajberinfo.com\/en\/2021\/09\/26\/malware\/\" target=\"_blank\" rel=\"nofollow noopener\">zlonamjernog softvera<\/a> <em>ClickFix<\/em> sa vi\u0161e <a href=\"https:\/\/sajberinfo.com\/en\/2023\/04\/11\/payload\/\" target=\"_blank\" rel=\"nofollow noopener\">zlonamjernih korisnih tereta<\/a> otkriva naprednu arhitekturu, koja podsje\u0107a na modularnu monta\u017enu liniju u kojoj svaka komponenta ima posebnu svrhu, a istovremeno djeluje unutar iste infrastrukture.<\/p>\n<p>Ovaj sistem iskori\u0161tava usmjeravanje zasnovano na tokenima radi isporuke skripti za <em>PowerShell<\/em> i zlonamjerno izmijenjenih instalacijskih paketa. Pri tome je jedan uo\u010deni primjer uve\u0107ao izvr\u0161nu datoteku na 842 MB kako bi zaobi\u0161ao ograni\u010denja skeniranja, \u010dime se ostvaruje taktika koja je jednako namjerna koliko i obmanjuju\u0107a.<\/p>\n<p>Iako sposobnost platforme <em>ROMULUS<\/em> da prikrije zlonamjerne aktivnosti iza stvarnih aplikacija nagla\u0161ava njenu prilagodljivost, nedostatak jasne mogu\u0107nosti pripisivanja ili identiteta operatera ostavlja sigurnosne analiti\u010dare da se suo\u010davaju sa zagonetkom \u010diji se dijelovi prote\u017eu kroz vi\u0161e grupa zlonamjernih aktera.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Arhitektura_pozadinskog_sistema_za_isporuku\"><\/span><strong>Arhitektura pozadinskog sistema za isporuku<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Platforma <em>ROMULUS<\/em> djeluje kao sistem za isporuku sa vi\u0161e zlonamjernih korisnih tereta, pri \u010demu iskori\u0161tava <em>ClickFix<\/em> radi izvr\u0161avanja zlonamjernog softvera kroz skrivene skripte za <em>PowerShell<\/em> i izmijenjene instalacijske pakete.<\/p>\n<p>Njen dizajn nagla\u0161ava mogu\u0107nost ponovne upotrebe, \u010dime se <a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/19\/hakeri-crni-sesiri-epizoda-3\/\" target=\"_blank\" rel=\"nofollow noopener\">zlonamjernim akterima<\/a> daje mogu\u0107nost da primijene razli\u010dite zlonamjerne korisne terete bez oslanjanja na pode\u0161avanja odre\u0111ena za server.<\/p>\n<p>Ovaj pristup se razlikuje od tradicionalnih servera za jednokratnu upotrebu zlonamjernog softvera, jer odra\u017eava zaokret ka modularnoj infrastrukturi koja se prilago\u0111ava promjenjivim pejza\u017eima prijetnji.<\/p>\n<p>Sistem koristi heksadecimalne tokene od dvanaest znakova za usmjeravanje, \u010dime se korisnici upu\u0107uju ili na pripremne skripte za <em>PowerShell<\/em> ili na zlonamjerno izmijenjene instalacijske pakete <em>MSI<\/em>. Ovi tokeni naizgled slu\u017ee kao jedinstveni identifikatori unutar arhitekture platforme, iako njihovo ta\u010dno mapiranje, bilo da je vezano za kampanje, \u017ertve ili zadatke isporuke, ostaje nerije\u0161eno.<\/p>\n<p>Ovaj mehanizam zasnovan na tokenima omogu\u0107ava pro\u0161irenu distribuciju, \u010dime se istovremeno prikrivaju operativni detalji od napora obavje\u0161tajnih podataka o prijetnjama.<\/p>\n<p>Stranica sa statistikom koju je otkrio jedan server pru\u017ea podatke u stvarnom vremenu o uspjehu kampanje, \u0161to uklju\u010duje broj jedinstvenih instalacija, ukupna izvr\u0161avanja i geografske raspodjele. Takve mogu\u0107nosti pra\u0107enja sugeri\u0161u da zlonamjerni akteri daju prednost nadzoru dometa i efikasnosti, pri \u010demu koriste podatke za usavr\u0161avanje svojih taktika tokom vremena.<\/p>\n<p>Prisustvo vremenskog okvira od 14 dana dodatno ukazuje na naglasak na dugoro\u010dnom upravljanju kampanjama, a ne na kratkotrajnim napadima.<\/p>\n<p>Na \u0161est <em>IP<\/em> adresa otkrivene su stranice za prijavu na sistem <em>ROMULUS<\/em>, namijenjene provjeri identiteta korisnika. Sve imaju isti tamni izgled i ikonu \u0161tita. Na tim stranicama nalaze se obrasci za prijavu koji \u0161alju pristupne podatke na putanju <em>\/api\/login<\/em>, a zatim preusmjeravaju korisnika na stranicu za upravljanje distribucijom.<\/p>\n<p>Identi\u010dan izgled i na\u010din rada na svih \u0161est adresa ukazuju na to da nepoznati akteri ujedna\u010deno upravljaju infrastrukturom platforme. Dizajn stranice za prijavu na sistem u\u010dvr\u0161\u0107uje ulogu platforme <em>ROMULUS<\/em> kao zajedni\u010dkog pozadinskog sistema, a ne izolovanog alata.<\/p>\n<p>Njegovo izlaganje putanje <em>\/stats.htm<\/em> uz putanje za prijavu nagla\u0161ava namjernu ravnote\u017eu izme\u0111u operativnog nadzora i odnosa sa korisnikom, \u010dime se zlonamjernim akterima daje mogu\u0107nost da upravljaju vi\u0161estrukim kampanjama iz jedinstvenog okru\u017eenja bez izlaganja dubljih detalja primjene.<\/p>\n<p>Ova struktura podr\u017eava i prilagodljivost i prikrivenost u strategijama primjene zlonamjernog softvera.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Vektor_bocnog_ucitavanja\"><\/span><strong>Vektor bo\u010dnog u\u010ditavanja<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Izmijenjeni instalacijski paket <em>IconEdit2Turb.msi<\/em> slu\u017ei za pokretanje zlonamjernog k\u00f4da, pri \u010demu po zavr\u0161etku instalacije pokre\u0107e aplikaciju <em>DeElevate64.exe<\/em>. Ovaj stvarni uslu\u017eni softver kompanije <em>Stardock<\/em>, ugra\u0111en u instalacijski paket, postaje sredstvo za pokretanje zlonamjernog k\u00f4da u\u010ditavanjem izmijenjene verzije biblioteke <em>DeElevator64.dll<\/em> iz svog direktorijuma.<\/p>\n<p>Izmijenjena biblioteka uvodi zavisnost od datoteke <em>I++u.dll<\/em>, \u010dime se izvr\u0161avanje preusmjerava na zlonamjerni softver za u\u010ditavanje k\u00f4da, bez o\u010diglednog naru\u0161avanja integriteta sistema.<\/p>\n<p>Platforma <em>ROMULUS<\/em> iskori\u0161tava ovaj lanac bo\u010dnog u\u010ditavanja tako \u0161to ugra\u0111uje ugro\u017eenu datoteku <em>DLL<\/em> unutar putanje instalacije pouzdane aplikacije, \u010dime se njeno prisustvo prikriva iza rutinskih softverskih operacija. Izmijenjena datoteka <em>DeElevator64<\/em>.dll ne mijenja svoje pona\u0161anje na povr\u0161ini, ve\u0107 prilago\u0111ava unutra\u0161nju logiku izvr\u0161avanja, \u010dime se daje prednost datoteci <em>I++u.dll<\/em>, koja naknadno izvr\u0161ava zlonamjerne korisne terete.<\/p>\n<p>Ova tehnika omogu\u0107ava zlonamjernim akterima da iskoriste povjerenje korisnika u alate kompanije <em>Stardock<\/em>, uz istovremeno odr\u017eavanje operativne prikrivenosti od mehanizama otkrivanja usmjerenih na tradicionalne potpise zlonamjernog softvera.<\/p>\n<p>Iako originalna datoteka <em>DeElevate64.exe<\/em> ostaje funkcionalno nepromijenjena, uklju\u010divanje izmijenjene datoteke <em>DLL<\/em> stvara prikriveni put za izvr\u0161avanje zlonamjernog k\u00f4da. Zlonamjerni akteri imaju korist od ovog pristupa, jer mijenjaju namjenu stvarnih tokova rada softvera kako bi zaobi\u0161li sigurnosne provjere koje bi u suprotnom mogle ozna\u010diti samostalne zlonamjerne datoteke.<\/p>\n<p>Oslanjanje na pouzdane izvr\u0161ne datoteke poput <em>DeElevate64.exe<\/em> isto tako ote\u017eava forenzi\u010dku analizu, budu\u0107i da zapisi i pona\u0161anja sistema djeluju dosljedno sa normalnom aktivno\u0161\u0107u korisnika.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Razotkrivanje_sifrovanog_lanca\"><\/span><strong>Razotkrivanje \u0161ifrovanog lanca<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p><a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/20\/enkripcija-podataka-istorija-i-osnove-epizoda-1\/\" target=\"_blank\" rel=\"nofollow noopener\">\u0160ifrovane<\/a> arhive <em>7z<\/em> \u010dine osnovu isporuke alata <em>LegionLoader<\/em> kroz platformu <em>ROMULUS<\/em>, pri \u010demu ugra\u0111eni slojevi prikrivaju sadr\u017eaj datoteka od stati\u010dke analize. Svaka arhiva sadr\u017ei komandno okru\u017eenje za\u0161ti\u0107eno <a href=\"https:\/\/sajberinfo.com\/en\/2019\/02\/24\/lozinka-password-sifra\/\" target=\"_blank\" rel=\"nofollow noopener\">lozinkom<\/a>, koje se \u0161iri u dodatne <a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/10\/enkripcija-podataka-funkcionisanje-i-vrste-epizoda-2\/\" target=\"_blank\" rel=\"nofollow noopener\">\u0161ifrovane<\/a> zlonamjerne korisne terete, pri \u010demu se oslanja na unaprijed ugra\u0111ene klju\u010deve u skriptama za <em>PowerShell<\/em> koje platforma \u010duva na serveru. Ova metoda osigurava da, \u010dak i ako se jedan sloj de\u0161ifruje, naredne faze ostaju skrivene dok izvr\u0161avanje ne po\u010dne.<\/p>\n<p>Dok infrastruktura platforme <em>ROMULUS<\/em> rukuje usmjeravanjem zasnovanim na tokenima, ovaj namjenski lanac iskori\u0161tava \u0161ifrovanje radi zaobila\u017eenja mehanizama otkrivanja koji se oslanjaju na metapodatke datoteka ili po\u010detne potpise.<\/p>\n<p>Stvarni uslu\u017eni softver <em>7zr.exe<\/em> sa platforme <em>GitHub<\/em> prilago\u0111ava se drugoj svrsi tokom izdvajanja, \u010dime se zlonamjerna aktivnost prikriva kao rutinski administrativni zadatak.<\/p>\n<p>Skripta preuzima spoljnu arhivu i koristi unaprijed odre\u0111enu lozinku za njeno otklju\u010davanje, \u010dime se otkriva unutra\u0161nja \u0161ifrovana datoteka <em>7z<\/em> uz jo\u0161 jedan klju\u010d zasnovan na tekstu. Ovaj pristup sa dva sloja prisiljava zlonamjerne aktere da ru\u010dno upravljaju vi\u0161estrukim koracima de\u0161ifrovanja, \u010dime se ote\u017eavaju napori automatizovanog skeniranja.<\/p>\n<p>Iako su krajnje ta\u010dke platforme <em>ROMULUS<\/em> dostupne putem<em> \/s\/ <\/em>za skripte i <em>\/app\/ <\/em>za instalacijske pakete, ovaj namjenski lanac isporuke u potpunosti izbjegava datoteke <em>MSI<\/em>, pri \u010demu se umjesto toga usmjerava na kompresovane arhive koje zaobilaze tradicionalne pragove izolovanog okru\u017eenja. \u0160ifrovanje <em>AES-256<\/em> primjenjuje se tokom faza de\u0161ifrovanja radi za\u0161tite k\u00f4da komandnog okru\u017eenja ugra\u0111enog unutar kona\u010dne izvr\u0161ne datoteke.<\/p>\n<p>Prije mapiranja zlonamjernog korisnog tereta u memoriju, de\u0161ifrovani me\u0111uspremnici prolaze kroz obrtanje bajtova, \u0161to je tehnika koja mije\u0161a obrasce podataka i naru\u0161ava otkrivanje zasnovano na potpisima. Ovaj proces osigurava da alat <em>LegionLoader<\/em> ostane funkcionalan \u010dak i ako djelimi\u010dni sadr\u017eaj procuri kroz analizu zasnovanu na potpisima.<\/p>\n<p>Upotreba algoritma <em>AES<\/em> uskla\u0111uje se sa \u0161irim trendovima u prikrivanju zlonamjernog softvera, ali je ovdje poja\u010dana samim rasponom \u0161irenja datoteka, \u010dime se pomi\u010du granice skeniranja izvan uobi\u010dajenih pragova za izolovana okru\u017eenja ili sisteme kapaciteta otpremanja.<\/p>\n<p>K\u00f4d komandnog okru\u017eenja sa obrtanjem bajtova dodatno ote\u017eava napore obrnutog in\u017eenjeringa nepredvidivim mijenjanjem rasporeda memorije. Nakon de\u0161ifrovanja, ovaj izmijenjeni k\u00f4d se ubacuje u prilago\u0111eni u\u010ditava\u010d koji zaobilazi standardne puteve izvr\u0161avanja, \u010dime se smanjuje mogu\u0107nost pra\u0107enja u sistemskim zapisima.<\/p>\n<p>Iako operateri platforme <em>ROMULUS<\/em> ostaju neprepoznati, slojevite tehnike \u0161ifrovanja i prikrivanja upu\u0107uju na koordinaciju izme\u0111u razli\u010ditih zlonamjernih aktera koji iskori\u0161tavaju zajedni\u010dku infrastrukturu. Ovaj pristup daje mogu\u0107nost alatu <em>LegionLoader<\/em> da opstane kroz razli\u010dite mre\u017ee bez direktnih veza sa bilo kojim pojedina\u010dnim zlonamjernim akterom ili kampanjom.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Izbjegavanje_otkrivanja_kroz_prikrivanje_i_obmanu\"><\/span><strong>Izbjegavanje otkrivanja kroz prikrivanje i obmanu<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Vje\u0161ta\u010dkim dodavanjem suvi\u0161nih podataka u strukturu izvr\u0161nih datoteka pove\u0107ava se njihova veli\u010dina iznad uobi\u010dajenih granica koje koriste alati za sigurnosnu provjeru. Zbog toga ovi alati mogu dati prednost manjim datotekama, dok ve\u0107e datoteke koje sadr\u017ee zlonamjerni k\u00f4d ostaju neotkrivene.<\/p>\n<p>Platforma <em>ROMULUS<\/em> koristi ovu tehniku tako \u0161to u klju\u010dne dijelove datoteka ume\u0107e bezopasne podatke, \u010dime se prikriva zlonamjerni k\u00f4d sve dok ne po\u010dne njegovo izvr\u0161avanje. Dodatne pote\u0161ko\u0107e pri analizi ma\u0161inskog k\u00f4da stvara prekomjerno uve\u0107an odjeljak za premje\u0161tanje, jer programi za pretvaranje ma\u0161inskog k\u00f4da u nizove ma\u0161inskih naredbi ote\u017eano obra\u0111uju naredbe koje nisu pravilno poravnate. Takve naredbe naizgled djeluju bezopasno, ali pokre\u0107u neo\u010dekivano pona\u0161anje tokom izvr\u0161avanja.<\/p>\n<p>Skrivene konzole za <em>PowerShell<\/em> djeluju ispod radara suzbijanjem vizuelnih povratnih informacija, \u010dime se zlonamjernim akterima daje mogu\u0107nost da izvr\u0161avaju komande bez upozoravanja korisnika ili pokretanja mehanizama vo\u0111enja dnevnika.<\/p>\n<p>Platforma <em>ROMULUS<\/em> objedinjuje ovaj pristup u svoje lance isporuke primjenom prikrivenih skripti koje zaobilaze politike izvr\u0161avanja i ostaju neotkrivene na listama procesa dok se zlonamjerni korisni tereti u potpunosti ne primijene. Odsustvo vidljivih prozora ili okru\u017eenja komandne linije smanjuje vjerovatno\u0107u ru\u010dne intervencije sigurnosnih timova koji nadziru aktivne sesije.<\/p>\n<p>Okru\u017eenje <em>RC4 Base64<\/em> za komandovanje i kontrolu prikriva zlonamjerni saobra\u0107aj kao stvarne internet obrasce, \u010dime se maskira komunikacija izme\u0111u inficiranih sistema i udaljenih servera.<\/p>\n<p>Platforma ROMULUS ugra\u0111uje \u0161ifrovane komande unutar naizgled obi\u010dnih <em>HTTP<\/em> zahtjeva, pri \u010demu koristi simetri\u010dno \u0161ifrovanje <em>RC4<\/em> radi sprje\u010davanja inspekcije zlonamjernog korisnog tereta bez <a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/22\/enkripcija-podataka-upravljanje-kljucevima-i-nedostaci-enkripcije-epizoda-3\/\" target=\"_blank\" rel=\"nofollow noopener\">klju\u010deva za de\u0161ifrovanje<\/a>. Ova metoda osigurava da preuzimanje podataka ili uputstva za kontrolu ostanu neotkrivena od alata zasnovanih na potpisima koji se oslanjaju na prepoznavanje obrazaca, a ne na analizu pona\u0161anja.<\/p>\n<p>Preveliki dijelovi za premje\u0161tanje iskori\u0161tavaju ograni\u010denja analize datoteka mapiranih u memoriju, budu\u0107i da rutine za raspakivanje ne uspijevaju rije\u0161iti uve\u0107ana premje\u0161tanja prije izvr\u0161avanja. Platforma <em>ROMULUS<\/em> iskori\u0161tava ovaj propust ugra\u0111ivanjem zlonamjernih korisnih tereta u zaglavlja izvr\u0161nih datoteka koja postaju funkcionalna tek nakon de\u0161ifrovanja tokom izvr\u0161avanja, \u010dime se odla\u017ee otkrivanje do operacija u kasnoj fazi.<\/p>\n<p>Ova taktika prisiljava sigurnosne analiti\u010dare da se oslanjaju na dinami\u010dku analizu ili heuristi\u010dke alate za procjenu, koji su manje uobi\u010dajeni u poslovnim okru\u017eenjima zbog ograni\u010denja resursa i rizika od la\u017eno pozitivnih rezultata.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ZAKLJUCAK\"><\/span><strong>ZAKLJU\u010cAK<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Arhitektura platforme <em>ROMULUS<\/em> otkriva namjerni zaokret ka modularnosti, pri \u010demu odvajanje infrastrukture i zlonamjernog korisnog tereta omogu\u0107ava razli\u010ditim zlonamjernim akterima da prilagode isti pozadinski sistem bez direktnih operativnih veza.<\/p>\n<p>Ovo odvajanje daje mogu\u0107nost zlonamjernim akterima da ubace razli\u010dite porodice zlonamjernog softvera kroz zajedni\u010dke kanale isporuke, \u010dime se stvara pejza\u017e u kojem utvr\u0111ivanje odgovornosti postaje sve manje povezano. Iako sistem platforme <em>ROMULUS<\/em> zasnovan na tokenima osigurava pro\u0161irenu distribuciju, on isto tako uvodi dvosmislenost, jer bi svaka putanja mogla slu\u017eiti nepovezanim kampanjama, \u010dime se ote\u017eavaju napori za pra\u0107enje vlasni\u0161tva ili namjere iza odre\u0111enih zlonamjernih korisnih tereta.<\/p>\n<p>Ovakva primjena nagla\u0161ava rastu\u0107i trend prilago\u0111avanja tr\u017ei\u0161nim zahtjevima alata za sajber kriminal, gdje platforme poput <em>ROMULUS<\/em> djeluju kao tihi posrednici, a ne kao jedinstveni operativni \u010dvorovi. Upotreba slojeva prikrivanja i vje\u0161ta\u010dkog popunjavanja u izvr\u0161nim datotekama isti\u010de strate\u0161ki oslonac na izbjegavanju automatizovanog otkrivanja, \u010dime se sigurnosni timovi primoravaju da se vi\u0161e oslanjaju na analizu pona\u0161anja i situacijsku povezanost.<\/p>\n<p>Ipak, sam obim saobra\u0107aja usmjerenog kroz ove servere, koji obuhvata vi\u0161e geografskih regiona i metoda isporuke, sugeri\u0161e infrastrukturu osmi\u0161ljenu za odr\u017eive operacije niskog profila, a ne za izolovane napade. Ovaj mehanizam odra\u017eava \u0161ire sistemske pomake u distribuciji zlonamjernog softvera, gdje se mogu\u0107nost ponovne upotrebe i anonimnost postavljaju kao prioritet u odnosu na prilago\u0111ene alate.<\/p>\n<p>Odsustvo jasnih digitalnih otisaka operatera postavlja pitanja o tome da li platforma <em>ROMULUS<\/em> funkcioni\u0161e kao zajedni\u010dki resurs me\u0111u labavo povezanim grupama ili kao dio razvojnog partnerskog modela koji se prilago\u0111ava tr\u017ei\u0161nim zahtjevima za uslugama isporuke. U svakom slu\u010daju, dizajn platforme dovodi u pitanje tradicionalne modele obavje\u0161tajnih podataka o prijetnjama, jer prikriva granice izme\u0111u infrastrukture, zlonamjernih korisnih tereta i aktera.<\/p>\n<p>Dok se branioci bore sa ovom dinamikom, pojavljuje se ne samo tehni\u010dki, ve\u0107 i teorijski izazov: na koji na\u010din se okru\u017eenja <a href=\"https:\/\/sajberinfo.com\/en\/2018\/12\/23\/sajber-bezbjednost\/\" target=\"_blank\" rel=\"nofollow noopener\">sajber bezbjednosti<\/a> razvijaju kada su sami alati koji se koriste za isporuku zlonamjernog softvera osmi\u0161ljeni da se odupru prepoznavanju na svakom za\u0161titnom sloju?<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"PREPORUKE\"><\/span><strong>PREPORUKE<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Kako zlonamjerni akteri neprekidno unapre\u0111uju svoje taktike kori\u0161tenjem platformi poput <em>ROMULUS<\/em>, koje kombinuju skripte za izvr\u0161avanje komandi, izmijenjene instalacijske programe i putanje isporuke zasnovane na pristupnim oznakama, organizacije moraju usvojiti unaprijed planirane mjere odbrane. Navedene preporuke mogu doprinijeti ja\u010danju sigurnosti, otpornosti i spremnosti, \u010dime se smanjuje izlo\u017eenost:<\/p>\n<ol>\n<li>Uspostaviti mre\u017eno pra\u0107enje neobi\u010dnih obrazaca saobra\u0107aja povezanih sa krajnjim ta\u010dkama platforme <em>ROMULUS<\/em> zasnovanim na pristupnim oznakama, jer su one klju\u010dne za njen mehanizam isporuke. Zlonamjerni akteri koriste takve putanje za preuzimanje zlonamjernih korisnih tereta, \u010dime se otkrivanje ovih me\u0111usobnih djelovanja \u010dini su\u0161tinskim za rano prepoznavanje prijetnji.<\/li>\n<li>Sprovoditi redovnu analizu zapisa skripti za izvr\u0161avanje komandi i aktivnosti u privremenim direktorijumima radi prepoznavanja izvr\u0161avanja prikrivenog k\u00f4da. Platforma <em>ROMULUS<\/em> oslanja se na izuzetno prikrivene skripte koje izvr\u0161avaju skriveni zlonamjerni softver, pa pra\u0107enje neobi\u010dnog pona\u0161anja skripti mo\u017ee sprije\u010diti aktiviranje korisnog tereta.<\/li>\n<li>Primjenjivati napredna rje\u0161enja za izolovano okru\u017eenje sposobna za rukovanje prevelikim datotekama (npr. uve\u0107ana izvr\u0161na datoteka <em>LegionLoader<\/em> od 842 <em>MB<\/em>). Zlonamjerni softver poput <em>LegionLoader<\/em> izbjegava skenere prelaskom granice ograni\u010denja veli\u010dine, a napredna izolovana okru\u017eenja sa pro\u0161irenim resursima za obradu neophodna su za efikasnu analizu takvih prijetnji.<\/li>\n<li>Unaprijediti otkrivanje poku\u0161aja neovla\u0161tenog u\u010ditavanja <em>DLL<\/em> datoteka pra\u0107enjem stvarnih aplikacija (npr. <em>Stardock DeElevation<\/em>) radi uo\u010davanja neo\u010dekivanih zavisnosti, poput <em>I++u.dll<\/em>. <em>ROMULUS<\/em> iskori\u0161tava pouzdani softver putem zlonamjernih <em>DLL<\/em> datoteka, pa analiza pona\u0161anja mo\u017ee rano otkriti ova ugro\u017eavanja.<\/li>\n<li>Organizovati obuku korisnika za prepoznavanje la\u017enih upita za provjeru ili uputstava za popravku koji se koriste u mamcima <em>ClickFix<\/em>. Zlonamjerni akteri varaju korisnike da izvr\u0161e zlonamjerne komande pod izgovorom tehni\u010dke podr\u0161ke, \u010dime se svijest \u010dini klju\u010dnim slojem odbrane.<\/li>\n<li>Razviti politike za blokiranje pristupa domenima povezanim sa infrastrukturom <em>ROMULUS<\/em>. Ove krajnje ta\u010dke su centralne za distribuciju zlonamjernog softvera, a filtriranje na mre\u017enom nivou mo\u017ee poremetiti operacije zlonamjernih aktera.<\/li>\n<li>Oja\u010dati mogu\u0107nosti sistema za upravljanje sigurnosnim informacijama i doga\u0111ajima (eng. <em>security information and event management \u2013 SIEM<\/em>) radi povezivanja znakova ugro\u017eenosti, poput neobi\u010dne aktivnosti skripti za izvr\u0161avanje komandi ili velikih prenosa datoteka. Model isporuke vi\u0161estrukih korisnih tereta ove platforme zahtijeva sveobuhvatnu analizu zapisa radi otkrivanja bo\u010dnog kretanja ili poku\u0161aja preuzimanja podataka.<\/li>\n<li>Uvesti obavezu kori\u0161tenja softvera za otkrivanje i odgovor na prijetnje (eng. <em>Endpoint Detection and Response \u2013 EDR<\/em>) koji prate zlonamjerni softver prisutan u memoriji, poput <em>LegionLoader<\/em>. Budu\u0107i da <em>ROMULUS<\/em> isporu\u010duje korisne terete u memoriju, softveri za otkrivanje i odgovor na prijetnje (<em>EDR<\/em>) su od su\u0161tinskog zna\u010daja za prepoznavanje prikrivenih infekcija prije nego \u0161to se razviju.<\/li>\n<li>Ograni\u010diti korisni\u010dke privilegije radi sprje\u010davanja neovla\u0161tene instalacije softvera putem paketa za neovla\u0161teno u\u010ditavanje. Vektor napada zasnovan na imenu <em>Stardock<\/em> oslanja se na izvr\u0161avanje zlonamjernog k\u00f4da od strane korisnika kroz pouzdane aplikacije, pa razdvajanje privilegija smanjuje rizik od iskori\u0161tavanja.<\/li>\n<li>Unaprijediti pra\u0107enje aktivnosti povezanih sa internet pregleda\u010dem (npr. pristup klju\u010dnom materijalu lokalnog stanja <em>Chrome<\/em>) radi otkrivanja pona\u0161anja prikupljanja podataka od strane <em>LegionLoader<\/em>. Zlonamjerni akteri koriste takve metode za kra\u0111u osjetljivih informacija, \u0161to zahtijeva upozorenja u stvarnom vremenu za sumnjive aktivnosti.<\/li>\n<li>Uspostaviti automatizovane tokove rada za lov na prijetnje usmjerene na znakove karakteristi\u010dne za <em>ROMULUS<\/em>, uklju\u010duju\u0107i obrasce pristupnih oznaka i rute isporuke uo\u010dene u kampanjama. Lov usmjeren na sprje\u010davanje problema mo\u017ee otkriti skriveni zlonamjerni softver prije nego \u0161to nanese \u0161tetu.<\/li>\n<li>Osigurati da sigurnosni timovi pregledaju zaobila\u017eenja datoteka uslijed ograni\u010denja veli\u010dine ili \u0161ifrovanja, kao \u0161to je vi\u0111eno sa uve\u0107anim arhivama <em>LegionLoader<\/em>. Ove taktike izbjegavanja zahtijevaju prilago\u0111enu analizu kako bi se izbjegao neotkriveni opstanak.<\/li>\n<\/ol>\n<p>Sposobnost platforme <em>ROMULUS<\/em> da isporu\u010di vi\u0161estruke korisne terete kroz jednu pozadinsku infrastrukturu nagla\u0161ava potrebu za neprekidnim a\u017euriranjima obavje\u0161tajnih podataka o prijetnjama i prilagodljivim odbranama. Rje\u0161avanjem njegovih jedinstvenih vektora napada \u2013 poput isporuke zasnovane na pristupnim oznakama, neovla\u0161tenog u\u010ditavanja <em>DLL<\/em> datoteka i prikrivenih skripti \u2013 organizacije mogu ubla\u017eiti rizike koje name\u0107e ova platforma koja se razvija.<\/p>","protected":false},"excerpt":{"rendered":"<p>Istra\u017eiva\u010di kompanije Forescout otkrili su platformu ROMULUS, koju zlonamjerni akteri koriste za \u0161irenje zlonamjernog softvera, uz metode osmi\u0161ljene da zaobi\u0111u bezbjednosne provjere i neprimjetno inficiraju ure\u0111aje. Ko stoji iza ove platforme za sada ostaje&#46;&#46;&#46;<\/p>","protected":false},"author":1,"featured_media":9792,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[3561,644,3352,3351,3477,93,275,4652,54,3496,4032,3440,1028,3598,76],"class_list":["post-9786","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-bezbjednost-podataka","tag-cybersecurity","tag-digitalna-zastita","tag-hakerski-napadi","tag-malver","tag-malware","tag-powershell","tag-romulus","tag-sajber-bezbjednost","tag-sajber-napadi","tag-sifrovanje-podataka","tag-skriveni-napadi","tag-threat-intelligence","tag-zastita-sistema","tag-zlonamjerni-softver"],"_links":{"self":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9786","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=9786"}],"version-history":[{"count":6,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9786\/revisions"}],"predecessor-version":[{"id":9793,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9786\/revisions\/9793"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/9792"}],"wp:attachment":[{"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=9786"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=9786"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=9786"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}