Malware · 5 ore fa
Forescout ha identificato sei server ROMULUS che trasformano ClickFix in una piattaforma condivisa per distribuire più payload. La scoperta cambia la lettura del fenomeno: non più una singola esca da bloccare, ma un backend riusabile che può alimentare campagne diverse.
ClickFix resta basato sullo stesso inganno di sempre: far eseguire alla vittima i comandi su un prompt reale, così il malware passa come attività dell’utente e aggira più facilmente i controlli. ROMULUS riusa quel canale per servire famiglie di malware diverse; in un caso, Forescout ha visto archivi cifrati con un eseguibile gonfiato a circa 842 MiB per complicare scansione e analisi.
Per chi segue social engineering e delivery di malware, il punto è che fermare un singolo lure non basta se l’infrastruttura dietro può essere riutilizzata e scalata. La superficie da osservare si sposta dal singolo messaggio al backend che lo rende intercambiabile.
1 fonte che coprono questa storia
ROMULUS Malware Server Leverages ClickFix to Deliver Multiple Payloads
Researchers at Forescout said the discovery shows how ClickFix is evolving from a delivery technique into full-blown cyber-criminal infrastructure
Part of the PlainSec briefing for 2026-10-14