ROMULUS ClickFix: منصة توزيع جديدة لـ Legion Loader بآليات متطورة

مقدمة تحليلية

في 20 أكتوبر 2026، كشفت Forescout Research - Vedere Labs عن تفاصيل منصة توصيل جديدة للبرمجيات الخبيثة تُدعى ROMULUS ClickFix. تستخدم المنصة أساليب خداع متطورة، تعتمد على إغراءات بأسلوب ClickFix عبر صفحات هبوط وهمية، لدفع المستخدمين لتشغيل أوامر ضارة بأنفسهم، مما يؤدي إلى إصابة أجهزتهم ببرمجيات مثل Legion Loader. وصفت Forescout ROMULUS بأنها خدمة لتوصيل البرمجيات الخبيثة. وفي تحليله، صرح الباحث الأمني ساي موليغ أن ROMULUS قد تكون "لوحة تحكم خاصة، أو خدمة تجارية للإجرام السيبراني، أو إطار عمل تابع، أو برنامجاً تم نسخه بين المشغلين". هذا التوصيف يشير إلى بنية تحتية مرنة وقابلة للتكيف، مما يرفع من مستوى التهديد. تحديد ستة عناوين IP تعمل عليها ROMULUS يؤكد على نطاق العملية، حيث تشمل 96.62.224[.]81، 86.109.75[.]7، 151.240.151[.]223، 23.94.145[.]224، 93.152.224[.]118، و2.27.248[.]127. هذا التطور يمثل نقلة حاسمة في أساليب الهجمات السيبرانية، حيث تتحول تقنية ClickFix من مجرد أداة هندسة اجتماعية بسيطة إلى نقطة دخول فعالة ومنظمة لتوصيل البرمجيات الخبيثة، مما يستلزم استجابة فورية.

التحليل التقني

تعتمد منصة ROMULUS ClickFix على هندسة معمارية تمكنها من إيصال حمولات خبيثة بفعالية. تبدأ الآلية بصفحات هبوط مزيفة تستخدم إغراءات ClickFix، وهي مصممة لخداع المستخدمين لتنفيذ أوامر ضارة. أكدت Forescout أن عنوان IP 96.62.224[.]81 كان يستضيف نص ClickFix البرمجي وملف تثبيت MSI، مرتبطاً بحملة سابقة استغلت ChatGPT Custom GPTs لتوجيه الضحايا إلى عناوين URL وهمية. كشف تحليل Forescout لاحقاً عن تسليم نفس البرمجيات الخبيثة عبر خادم آخر، 86.109.75[.]7، والذي استضاف أيضاً لوحة تحكم تحمل اسم ROMULUS.

تتمثل سلسلة الهجوم الرئيسية التي كشفت عنها الأبحاث في:

• تفعيل عبر ClickFix.
• تشغيل نص PowerShell برمجي.
• توصيل Legion Loader، المعروف أيضاً باسم Satacom downloader، CurlyGate، و RobotDropper.

تُظهر المنصة نقطتي نهاية مصممتين لتنزيل نص PowerShell برمجي توجيهي يقرر الحمولات اللاحقة. تشمل هذه الحمولات:

• مثبت MSI مخترق يحمل أداة تحميل برمجيات خبيثة.
• أرشيف مشفر يحتوي على Legion Loader، يتم تضخيمه إلى حوالي 1 جيجابايت باستخدام حشوة متكررة. الهدف من التضخيم هو تجاوز حدود التحميل، وميزانيات صناديق الحماية، أو عتبات التحليل الثابت.

بمجرد تنشيطه، يتواصل المُحمِّل مع خادم بعيد لجلب وتشغيل حمولات إضافية. تجدر الإشارة إلى أن Forescout أكدت عدم وجود أي تداخل بين ROMULUS ومنصة RomulusLoader، وهي عائلة برمجيات خبيثة مرتبطة بالممثل التهديدي TA4922، المعروف أيضاً باسم Silver Fox، والذي تدعمه الصين. هذا الممثل يستخدم تكتيكات مختلفة، بما في ذلك الذرائع المتعلقة بالضرائب لنشر أحصنة طروادة للوصول عن بعد مثل ValleyRAT (المعروف أيضاً باسم Winos 4.0)، و DcRAT، وربما Venom RAT، عبر تقنيات DLL sideloading. هذه التفاصيل تؤكد على تعقيد ROMULUS كمنصة مستقلة وذات قدرات تقنية متقدمة في التحايل على آليات الكشف التقليدية.

السياق وتأثير السوق

يمثل ظهور منصة ROMULUS تحولاً نوعياً في مشهد التهديدات السيبرانية، مؤكداً أن تقنية ClickFix لم تعد مجرد تكتيك هندسة اجتماعية بدائي. بل أصبحت الآن نقطة دخول فعالة للغاية للبرمجيات الخبيثة، معززة ببنية تحتية قادرة على التوزيع المنهجي. هذا التطور يعني أن الشركات والمستخدمين يواجهون الآن تهديداً أكثر تنظيماً وتعقيداً، يتجاوز الفخاخ البسيطة التي كانت تميز هجمات ClickFix في الماضي.

في مقارنة مباشرة، بينما كان الممثل التهديدي Silver Fox (المعروف أيضاً باسم TA4922) يستغل أساليب مثل DLL sideloading وذرائع الضرائب لتوزيع برمجيات خبيثة كـ ValleyRAT و DcRAT، فإن ROMULUS تقدم نموذجاً مختلفاً. تعتمد ROMULUS على استغلال ثغرة السلوك البشري عبر إغراءات ClickFix المُعدة بعناية، والتي تتطور لتشمل حملات معقدة مثل توجيه الضحايا عبر ChatGPT Custom GPTs إلى صفحات وهمية. هذا التباين في النهج يبرز أن التهديدات تتنوع في مصادرها وتكتيكاتها، مما يجعل الدفاعات القديمة التي تركز على أنماط هجوم محددة أقل فعالية.

القدرة على تضخيم الأرشيفات المشفرة إلى حوالي 1 جيجابايت لتجاوز حدود التحميل وميزانيات صناديق الحماية، كما تفعل ROMULUS، ترفع من مستوى التعقيد الفني لآليات التوزيع. هذا يتجاوز أساليب التعتيم التقليدية ويدفع بمتطلبات التحليل الأمني إلى مستويات جديدة. السوق يواجه الآن تحدياً يتمثل في تطوير حلول أمنية لا تركز فقط على الكشف عن البرمجيات الخبيثة نفسها، بل على تحديد أنماط السلوك الشبكي الغريبة وأوامر PowerShell المشبوهة التي تنفذها الأنظمة بعد خداع المستخدم، وهذا ما أوصت به Forescout كإجراء تخفيفي. إن الاعتماد على حلول الكشف القائمة على التوقيعات فقط لم يعد كافياً، مما يفرض على الموردين والمؤسسات إعادة تقييم استراتيجياتهم الدفاعية بشكل جذري.