ClickFix diventa infrastruttura riusabile per più malware
Forescout ha identificato sei server ROMULUS che trasformano ClickFix in una piattaforma condivisa per distribuire più payload. La scoperta cambia la lettura del fenomeno: non più una singola esca da bloccare, ma un backend riusabile che può alimentare campagne diverse.
ClickFix resta basato sullo stesso inganno di sempre: far eseguire alla vittima i comandi su un prompt reale, così il malware passa come attività dell’utente e aggira più facilmente i controlli. ROMULUS riusa quel canale per servire famiglie di malware diverse; in un caso, Forescout ha visto archivi cifrati con un eseguibile gonfiato a circa 842 MiB per complicare scansione e analisi.
Per chi segue social engineering e delivery di malware, il punto è che fermare un singolo lure non basta se l’infrastruttura dietro può essere riutilizzata e scalata. La superficie da osservare si sposta dal singolo messaggio al backend che lo rende intercambiabile.