ROMULUS: prikrivena isporuka zlonamjernog softvera

Istraživači kompanije Forescout otkrili su platformu ROMULUS, koju zlonamjerni akteri koriste za širenje zlonamjernog softvera, uz metode osmišljene da zaobiđu bezbjednosne provjere i neprimjetno inficiraju uređaje. Ko stoji iza ove platforme za sada ostaje nepoznato.

PLATFORMA ROMULUS

Pojava platforme ROMULUS kao sistema za isporuku zlonamjernog softvera ClickFix sa više zlonamjernih korisnih tereta otkriva naprednu arhitekturu, koja podsjeća na modularnu montažnu liniju u kojoj svaka komponenta ima posebnu svrhu, a istovremeno djeluje unutar iste infrastrukture.

Ovaj sistem iskorištava usmjeravanje zasnovano na tokenima radi isporuke skripti za PowerShell i zlonamjerno izmijenjenih instalacijskih paketa. Pri tome je jedan uočeni primjer uvećao izvršnu datoteku na 842 MB kako bi zaobišao ograničenja skeniranja, čime se ostvaruje taktika koja je jednako namjerna koliko i obmanjujuća.

Iako sposobnost platforme ROMULUS da prikrije zlonamjerne aktivnosti iza stvarnih aplikacija naglašava njenu prilagodljivost, nedostatak jasne mogućnosti pripisivanja ili identiteta operatera ostavlja sigurnosne analitičare da se suočavaju sa zagonetkom čiji se dijelovi protežu kroz više grupa zlonamjernih aktera.

 

Arhitektura pozadinskog sistema za isporuku

Platforma ROMULUS djeluje kao sistem za isporuku sa više zlonamjernih korisnih tereta, pri čemu iskorištava ClickFix radi izvršavanja zlonamjernog softvera kroz skrivene skripte za PowerShell i izmijenjene instalacijske pakete.

Njen dizajn naglašava mogućnost ponovne upotrebe, čime se zlonamjernim akterima daje mogućnost da primijene različite zlonamjerne korisne terete bez oslanjanja na podešavanja određena za server.

Ovaj pristup se razlikuje od tradicionalnih servera za jednokratnu upotrebu zlonamjernog softvera, jer odražava zaokret ka modularnoj infrastrukturi koja se prilagođava promjenjivim pejzažima prijetnji.

Sistem koristi heksadecimalne tokene od dvanaest znakova za usmjeravanje, čime se korisnici upućuju ili na pripremne skripte za PowerShell ili na zlonamjerno izmijenjene instalacijske pakete MSI. Ovi tokeni naizgled služe kao jedinstveni identifikatori unutar arhitekture platforme, iako njihovo tačno mapiranje, bilo da je vezano za kampanje, žrtve ili zadatke isporuke, ostaje neriješeno.

Ovaj mehanizam zasnovan na tokenima omogućava proširenu distribuciju, čime se istovremeno prikrivaju operativni detalji od napora obavještajnih podataka o prijetnjama.

Stranica sa statistikom koju je otkrio jedan server pruža podatke u stvarnom vremenu o uspjehu kampanje, što uključuje broj jedinstvenih instalacija, ukupna izvršavanja i geografske raspodjele. Takve mogućnosti praćenja sugerišu da zlonamjerni akteri daju prednost nadzoru dometa i efikasnosti, pri čemu koriste podatke za usavršavanje svojih taktika tokom vremena.

Prisustvo vremenskog okvira od 14 dana dodatno ukazuje na naglasak na dugoročnom upravljanju kampanjama, a ne na kratkotrajnim napadima.

Na šest IP adresa otkrivene su stranice za prijavu na sistem ROMULUS, namijenjene provjeri identiteta korisnika. Sve imaju isti tamni izgled i ikonu štita. Na tim stranicama nalaze se obrasci za prijavu koji šalju pristupne podatke na putanju /api/login, a zatim preusmjeravaju korisnika na stranicu za upravljanje distribucijom.

Identičan izgled i način rada na svih šest adresa ukazuju na to da nepoznati akteri ujednačeno upravljaju infrastrukturom platforme. Dizajn stranice za prijavu na sistem učvršćuje ulogu platforme ROMULUS kao zajedničkog pozadinskog sistema, a ne izolovanog alata.

Njegovo izlaganje putanje /stats.htm uz putanje za prijavu naglašava namjernu ravnotežu između operativnog nadzora i odnosa sa korisnikom, čime se zlonamjernim akterima daje mogućnost da upravljaju višestrukim kampanjama iz jedinstvenog okruženja bez izlaganja dubljih detalja primjene.

Ova struktura podržava i prilagodljivost i prikrivenost u strategijama primjene zlonamjernog softvera.

 

Vektor bočnog učitavanja

Izmijenjeni instalacijski paket IconEdit2Turb.msi služi za pokretanje zlonamjernog kôda, pri čemu po završetku instalacije pokreće aplikaciju DeElevate64.exe. Ovaj stvarni uslužni softver kompanije Stardock, ugrađen u instalacijski paket, postaje sredstvo za pokretanje zlonamjernog kôda učitavanjem izmijenjene verzije biblioteke DeElevator64.dll iz svog direktorijuma.

Izmijenjena biblioteka uvodi zavisnost od datoteke I++u.dll, čime se izvršavanje preusmjerava na zlonamjerni softver za učitavanje kôda, bez očiglednog narušavanja integriteta sistema.

Platforma ROMULUS iskorištava ovaj lanac bočnog učitavanja tako što ugrađuje ugroženu datoteku DLL unutar putanje instalacije pouzdane aplikacije, čime se njeno prisustvo prikriva iza rutinskih softverskih operacija. Izmijenjena datoteka DeElevator64.dll ne mijenja svoje ponašanje na površini, već prilagođava unutrašnju logiku izvršavanja, čime se daje prednost datoteci I++u.dll, koja naknadno izvršava zlonamjerne korisne terete.

Ova tehnika omogućava zlonamjernim akterima da iskoriste povjerenje korisnika u alate kompanije Stardock, uz istovremeno održavanje operativne prikrivenosti od mehanizama otkrivanja usmjerenih na tradicionalne potpise zlonamjernog softvera.

Iako originalna datoteka DeElevate64.exe ostaje funkcionalno nepromijenjena, uključivanje izmijenjene datoteke DLL stvara prikriveni put za izvršavanje zlonamjernog kôda. Zlonamjerni akteri imaju korist od ovog pristupa, jer mijenjaju namjenu stvarnih tokova rada softvera kako bi zaobišli sigurnosne provjere koje bi u suprotnom mogle označiti samostalne zlonamjerne datoteke.

Oslanjanje na pouzdane izvršne datoteke poput DeElevate64.exe isto tako otežava forenzičku analizu, budući da zapisi i ponašanja sistema djeluju dosljedno sa normalnom aktivnošću korisnika.

 

Razotkrivanje šifrovanog lanca

Šifrovane arhive 7z čine osnovu isporuke alata LegionLoader kroz platformu ROMULUS, pri čemu ugrađeni slojevi prikrivaju sadržaj datoteka od statičke analize. Svaka arhiva sadrži komandno okruženje zaštićeno lozinkom, koje se širi u dodatne šifrovane zlonamjerne korisne terete, pri čemu se oslanja na unaprijed ugrađene ključeve u skriptama za PowerShell koje platforma čuva na serveru. Ova metoda osigurava da, čak i ako se jedan sloj dešifruje, naredne faze ostaju skrivene dok izvršavanje ne počne.

Dok infrastruktura platforme ROMULUS rukuje usmjeravanjem zasnovanim na tokenima, ovaj namjenski lanac iskorištava šifrovanje radi zaobilaženja mehanizama otkrivanja koji se oslanjaju na metapodatke datoteka ili početne potpise.

Stvarni uslužni softver 7zr.exe sa platforme GitHub prilagođava se drugoj svrsi tokom izdvajanja, čime se zlonamjerna aktivnost prikriva kao rutinski administrativni zadatak.

Skripta preuzima spoljnu arhivu i koristi unaprijed određenu lozinku za njeno otključavanje, čime se otkriva unutrašnja šifrovana datoteka 7z uz još jedan ključ zasnovan na tekstu. Ovaj pristup sa dva sloja prisiljava zlonamjerne aktere da ručno upravljaju višestrukim koracima dešifrovanja, čime se otežavaju napori automatizovanog skeniranja.

Iako su krajnje tačke platforme ROMULUS dostupne putem /s/ za skripte i /app/ za instalacijske pakete, ovaj namjenski lanac isporuke u potpunosti izbjegava datoteke MSI, pri čemu se umjesto toga usmjerava na kompresovane arhive koje zaobilaze tradicionalne pragove izolovanog okruženja. Šifrovanje AES-256 primjenjuje se tokom faza dešifrovanja radi zaštite kôda komandnog okruženja ugrađenog unutar konačne izvršne datoteke.

Prije mapiranja zlonamjernog korisnog tereta u memoriju, dešifrovani međuspremnici prolaze kroz obrtanje bajtova, što je tehnika koja miješa obrasce podataka i narušava otkrivanje zasnovano na potpisima. Ovaj proces osigurava da alat LegionLoader ostane funkcionalan čak i ako djelimični sadržaj procuri kroz analizu zasnovanu na potpisima.

Upotreba algoritma AES usklađuje se sa širim trendovima u prikrivanju zlonamjernog softvera, ali je ovdje pojačana samim rasponom širenja datoteka, čime se pomiču granice skeniranja izvan uobičajenih pragova za izolovana okruženja ili sisteme kapaciteta otpremanja.

Kôd komandnog okruženja sa obrtanjem bajtova dodatno otežava napore obrnutog inženjeringa nepredvidivim mijenjanjem rasporeda memorije. Nakon dešifrovanja, ovaj izmijenjeni kôd se ubacuje u prilagođeni učitavač koji zaobilazi standardne puteve izvršavanja, čime se smanjuje mogućnost praćenja u sistemskim zapisima.

Iako operateri platforme ROMULUS ostaju neprepoznati, slojevite tehnike šifrovanja i prikrivanja upućuju na koordinaciju između različitih zlonamjernih aktera koji iskorištavaju zajedničku infrastrukturu. Ovaj pristup daje mogućnost alatu LegionLoader da opstane kroz različite mreže bez direktnih veza sa bilo kojim pojedinačnim zlonamjernim akterom ili kampanjom.

 

Izbjegavanje otkrivanja kroz prikrivanje i obmanu

Vještačkim dodavanjem suvišnih podataka u strukturu izvršnih datoteka povećava se njihova veličina iznad uobičajenih granica koje koriste alati za sigurnosnu provjeru. Zbog toga ovi alati mogu dati prednost manjim datotekama, dok veće datoteke koje sadrže zlonamjerni kôd ostaju neotkrivene.

Platforma ROMULUS koristi ovu tehniku tako što u ključne dijelove datoteka umeće bezopasne podatke, čime se prikriva zlonamjerni kôd sve dok ne počne njegovo izvršavanje. Dodatne poteškoće pri analizi mašinskog kôda stvara prekomjerno uvećan odjeljak za premještanje, jer programi za pretvaranje mašinskog kôda u nizove mašinskih naredbi otežano obrađuju naredbe koje nisu pravilno poravnate. Takve naredbe naizgled djeluju bezopasno, ali pokreću neočekivano ponašanje tokom izvršavanja.

Skrivene konzole za PowerShell djeluju ispod radara suzbijanjem vizuelnih povratnih informacija, čime se zlonamjernim akterima daje mogućnost da izvršavaju komande bez upozoravanja korisnika ili pokretanja mehanizama vođenja dnevnika.

Platforma ROMULUS objedinjuje ovaj pristup u svoje lance isporuke primjenom prikrivenih skripti koje zaobilaze politike izvršavanja i ostaju neotkrivene na listama procesa dok se zlonamjerni korisni tereti u potpunosti ne primijene. Odsustvo vidljivih prozora ili okruženja komandne linije smanjuje vjerovatnoću ručne intervencije sigurnosnih timova koji nadziru aktivne sesije.

Okruženje RC4 Base64 za komandovanje i kontrolu prikriva zlonamjerni saobraćaj kao stvarne internet obrasce, čime se maskira komunikacija između inficiranih sistema i udaljenih servera.

Platforma ROMULUS ugrađuje šifrovane komande unutar naizgled običnih HTTP zahtjeva, pri čemu koristi simetrično šifrovanje RC4 radi sprječavanja inspekcije zlonamjernog korisnog tereta bez ključeva za dešifrovanje. Ova metoda osigurava da preuzimanje podataka ili uputstva za kontrolu ostanu neotkrivena od alata zasnovanih na potpisima koji se oslanjaju na prepoznavanje obrazaca, a ne na analizu ponašanja.

Preveliki dijelovi za premještanje iskorištavaju ograničenja analize datoteka mapiranih u memoriju, budući da rutine za raspakivanje ne uspijevaju riješiti uvećana premještanja prije izvršavanja. Platforma ROMULUS iskorištava ovaj propust ugrađivanjem zlonamjernih korisnih tereta u zaglavlja izvršnih datoteka koja postaju funkcionalna tek nakon dešifrovanja tokom izvršavanja, čime se odlaže otkrivanje do operacija u kasnoj fazi.

Ova taktika prisiljava sigurnosne analitičare da se oslanjaju na dinamičku analizu ili heurističke alate za procjenu, koji su manje uobičajeni u poslovnim okruženjima zbog ograničenja resursa i rizika od lažno pozitivnih rezultata.

 

ZAKLJUČAK

Arhitektura platforme ROMULUS otkriva namjerni zaokret ka modularnosti, pri čemu odvajanje infrastrukture i zlonamjernog korisnog tereta omogućava različitim zlonamjernim akterima da prilagode isti pozadinski sistem bez direktnih operativnih veza.

Ovo odvajanje daje mogućnost zlonamjernim akterima da ubace različite porodice zlonamjernog softvera kroz zajedničke kanale isporuke, čime se stvara pejzaž u kojem utvrđivanje odgovornosti postaje sve manje povezano. Iako sistem platforme ROMULUS zasnovan na tokenima osigurava proširenu distribuciju, on isto tako uvodi dvosmislenost, jer bi svaka putanja mogla služiti nepovezanim kampanjama, čime se otežavaju napori za praćenje vlasništva ili namjere iza određenih zlonamjernih korisnih tereta.

Ovakva primjena naglašava rastući trend prilagođavanja tržišnim zahtjevima alata za sajber kriminal, gdje platforme poput ROMULUS djeluju kao tihi posrednici, a ne kao jedinstveni operativni čvorovi. Upotreba slojeva prikrivanja i vještačkog popunjavanja u izvršnim datotekama ističe strateški oslonac na izbjegavanju automatizovanog otkrivanja, čime se sigurnosni timovi primoravaju da se više oslanjaju na analizu ponašanja i situacijsku povezanost.

Ipak, sam obim saobraćaja usmjerenog kroz ove servere, koji obuhvata više geografskih regiona i metoda isporuke, sugeriše infrastrukturu osmišljenu za održive operacije niskog profila, a ne za izolovane napade. Ovaj mehanizam odražava šire sistemske pomake u distribuciji zlonamjernog softvera, gdje se mogućnost ponovne upotrebe i anonimnost postavljaju kao prioritet u odnosu na prilagođene alate.

Odsustvo jasnih digitalnih otisaka operatera postavlja pitanja o tome da li platforma ROMULUS funkcioniše kao zajednički resurs među labavo povezanim grupama ili kao dio razvojnog partnerskog modela koji se prilagođava tržišnim zahtjevima za uslugama isporuke. U svakom slučaju, dizajn platforme dovodi u pitanje tradicionalne modele obavještajnih podataka o prijetnjama, jer prikriva granice između infrastrukture, zlonamjernih korisnih tereta i aktera.

Dok se branioci bore sa ovom dinamikom, pojavljuje se ne samo tehnički, već i teorijski izazov: na koji način se okruženja sajber bezbjednosti razvijaju kada su sami alati koji se koriste za isporuku zlonamjernog softvera osmišljeni da se odupru prepoznavanju na svakom zaštitnom sloju?

 

PREPORUKE

Kako zlonamjerni akteri neprekidno unapređuju svoje taktike korištenjem platformi poput ROMULUS, koje kombinuju skripte za izvršavanje komandi, izmijenjene instalacijske programe i putanje isporuke zasnovane na pristupnim oznakama, organizacije moraju usvojiti unaprijed planirane mjere odbrane. Navedene preporuke mogu doprinijeti jačanju sigurnosti, otpornosti i spremnosti, čime se smanjuje izloženost:

1. Uspostaviti mrežno praćenje neobičnih obrazaca saobraćaja povezanih sa krajnjim tačkama platforme ROMULUS zasnovanim na pristupnim oznakama, jer su one ključne za njen mehanizam isporuke. Zlonamjerni akteri koriste takve putanje za preuzimanje zlonamjernih korisnih tereta, čime se otkrivanje ovih međusobnih djelovanja čini suštinskim za rano prepoznavanje prijetnji.
2. Sprovoditi redovnu analizu zapisa skripti za izvršavanje komandi i aktivnosti u privremenim direktorijumima radi prepoznavanja izvršavanja prikrivenog kôda. Platforma ROMULUS oslanja se na izuzetno prikrivene skripte koje izvršavaju skriveni zlonamjerni softver, pa praćenje neobičnog ponašanja skripti može spriječiti aktiviranje korisnog tereta.
3. Primjenjivati napredna rješenja za izolovano okruženje sposobna za rukovanje prevelikim datotekama (npr. uvećana izvršna datoteka LegionLoader od 842 MB). Zlonamjerni softver poput LegionLoader izbjegava skenere prelaskom granice ograničenja veličine, a napredna izolovana okruženja sa proširenim resursima za obradu neophodna su za efikasnu analizu takvih prijetnji.
4. Unaprijediti otkrivanje pokušaja neovlaštenog učitavanja DLL datoteka praćenjem stvarnih aplikacija (npr. Stardock DeElevation) radi uočavanja neočekivanih zavisnosti, poput I++u.dll. ROMULUS iskorištava pouzdani softver putem zlonamjernih DLL datoteka, pa analiza ponašanja može rano otkriti ova ugrožavanja.
5. Organizovati obuku korisnika za prepoznavanje lažnih upita za provjeru ili uputstava za popravku koji se koriste u mamcima ClickFix. Zlonamjerni akteri varaju korisnike da izvrše zlonamjerne komande pod izgovorom tehničke podrške, čime se svijest čini ključnim slojem odbrane.
6. Razviti politike za blokiranje pristupa domenima povezanim sa infrastrukturom ROMULUS. Ove krajnje tačke su centralne za distribuciju zlonamjernog softvera, a filtriranje na mrežnom nivou može poremetiti operacije zlonamjernih aktera.
7. Ojačati mogućnosti sistema za upravljanje sigurnosnim informacijama i događajima (eng. security information and event management – SIEM) radi povezivanja znakova ugroženosti, poput neobične aktivnosti skripti za izvršavanje komandi ili velikih prenosa datoteka. Model isporuke višestrukih korisnih tereta ove platforme zahtijeva sveobuhvatnu analizu zapisa radi otkrivanja bočnog kretanja ili pokušaja preuzimanja podataka.
8. Uvesti obavezu korištenja softvera za otkrivanje i odgovor na prijetnje (eng. Endpoint Detection and Response – EDR) koji prate zlonamjerni softver prisutan u memoriji, poput LegionLoader. Budući da ROMULUS isporučuje korisne terete u memoriju, softveri za otkrivanje i odgovor na prijetnje (EDR) su od suštinskog značaja za prepoznavanje prikrivenih infekcija prije nego što se razviju.
9. Ograničiti korisničke privilegije radi sprječavanja neovlaštene instalacije softvera putem paketa za neovlašteno učitavanje. Vektor napada zasnovan na imenu Stardock oslanja se na izvršavanje zlonamjernog kôda od strane korisnika kroz pouzdane aplikacije, pa razdvajanje privilegija smanjuje rizik od iskorištavanja.
10. Unaprijediti praćenje aktivnosti povezanih sa internet pregledačem (npr. pristup ključnom materijalu lokalnog stanja Chrome) radi otkrivanja ponašanja prikupljanja podataka od strane LegionLoader. Zlonamjerni akteri koriste takve metode za krađu osjetljivih informacija, što zahtijeva upozorenja u stvarnom vremenu za sumnjive aktivnosti.
11. Uspostaviti automatizovane tokove rada za lov na prijetnje usmjerene na znakove karakteristične za ROMULUS, uključujući obrasce pristupnih oznaka i rute isporuke uočene u kampanjama. Lov usmjeren na sprječavanje problema može otkriti skriveni zlonamjerni softver prije nego što nanese štetu.
12. Osigurati da sigurnosni timovi pregledaju zaobilaženja datoteka uslijed ograničenja veličine ili šifrovanja, kao što je viđeno sa uvećanim arhivama LegionLoader. Ove taktike izbjegavanja zahtijevaju prilagođenu analizu kako bi se izbjegao neotkriveni opstanak.

Sposobnost platforme ROMULUS da isporuči višestruke korisne terete kroz jednu pozadinsku infrastrukturu naglašava potrebu za neprekidnim ažuriranjima obavještajnih podataka o prijetnjama i prilagodljivim odbranama. Rješavanjem njegovih jedinstvenih vektora napada – poput isporuke zasnovane na pristupnim oznakama, neovlaštenog učitavanja DLL datoteka i prikrivenih skripti – organizacije mogu ublažiti rizike koje nameće ova platforma koja se razvija.