悪質コマンドを自ら実行させる「ClickFix」悪用のマルウェア配信基盤「ROMULUS」が確認される

要点

• 偽のエラー修復画面などを装ってユーザー自身にコマンドを実行させる「ClickFix」手口を用いたマルウェア配信基盤「ROMULUS」の存在が明らかになった。

• サイバーセキュリティ企業のForescout Research - Vedere Labsが分析結果を公開し、同基盤に関連する6つのIPアドレスを特定した。

• 感染プロセスではPowerShellスクリプトやトロイの木馬化されたインストーラーが使われ、「Legion Loader」などのマルウェアが拡散されている。

• 検知を逃れるため、不正な暗号化アーカイブファイルに繰り返しデータを詰め込み、意図的にサイズを約1GBまで肥大化させる手口が確認された。

• サイバーセキュリティ企業のForescoutの研究部門であるForescout Research - Vedere Labsは2026年10月20日、マルウェア配信プラットフォーム「ROMULUS」に関する分析結果を発表した。同プラットフォームは、ユーザーを騙して不正なコマンドを実行させる「ClickFix」と呼ばれる手法を用いて、「Legion Loader」などのマルウェアを端末に感染させているという。現時点でROMULUSを運用する背後の組織は特定されていないものの、複数のサーバーを介して多段階の攻撃を展開している実態が判明した。

ユーザーを騙して自ら感染させる「ClickFix」と配信基盤「ROMULUS」

Forescoutの研究者であるSai Molige氏の分析によると、ROMULUSは偽のランディングページ（誘導先のWebページ）を利用し、訪問者を騙して不正なコマンドを実行させるマルウェア配信サービスのような役割を果たしているという。

ここで用いられている「ClickFix」とは、ブラウザのエラー解消や人間確認などの指示を装い、ユーザー自身に端末のターミナルやコマンドライン上へ悪意ある文字列を貼り付けて実行させてしまうソーシャルエンジニアリング手法である。攻撃者はユーザー自身の操作によって保護機能をすり抜け、端末をマルウェアに感染させる。

Molige氏はROMULUSの実態について、独自に運用されている非公開の管理パネル、商用サイバー犯罪配信サービス、アフィリエイト向けフレームワーク、あるいは攻撃者の間で複製・共有されたソフトウェアのいずれかである可能性があると指摘している。なお、名称が類似するマルウェアに「RomulusLoader」が存在するが、これは中国関連の脅威グループ「Silver Fox（別名：TA4922）」が用いるものであり、今回のROMULUSプラットフォームとは一切の重複や関連性がないことも確認されている。

判明した6つのIPアドレスと悪質カスタムGPTの悪用

Forescoutは調査の過程で、ROMULUSを稼働させている以下の6つのIPアドレスを特定したと報告している。

• 96.62.224[.]81
• 86.109.75[.]7
• 151.240.151[.]223
• 23.94.145[.]224
• 93.152.224[.]118
• 2.27.248[.]127

これらのうち「96.62.224[.]81」は、別の攻撃キャンペーンでも確認されていたIPアドレスだった。そのキャンペーンでは、悪意あるChatGPTのカスタム機能（Custom GPTs）を悪用してユーザーを偽のURLへ誘導し、ClickFix用のスクリプトやMSIインストーラー（Windows向けの標準的な導入パッケージ）を配布していたという。

さらにForescoutによる追跡調査の結果、「86.109.75[.]7」という別のサーバー上でも「ROMULUS」というコードネームが付けられた管理パネルがホストされ、同一のマルウェアが配信されていることが突き止められた。

1GBへのファイル肥大化による解析回避と多段ペイロード

ROMULUSプラットフォームは、PowerShellのステージングスクリプト（次の感染段階を準備・制御するプログラム）をダウンロードさせるための2つのエンドポイントを公開している。

このスクリプトが状況を判断し、次に端末へ取得・実行させるペイロード（攻撃の本体となる不正プログラム）を決定する仕組みになっているという。取得されるペイロードには、マルウェアローダーを仕込んだトロイの木馬化MSIインストーラーのほか、暗号化されたアーカイブファイルが含まれる。

この暗号化アーカイブには「Legion Loader」（別名：Satacom downloader、CurlyGate、RobotDropper）が格納されている。特筆すべき点として、このアーカイブは同一のデータを繰り返し埋め込むパディング処理によって、ファイルサイズが約1GB近くにまで意図的に引き上げられている。この極端なファイル肥大化は、セキュリティシステムが設けているアップロードサイズの上限や、サンドボックス（安全な仮想環境内でファイルを動作させて挙動を確認する仕組み）の解析制限時間、静的解析（ファイルを実行せずにコード構造を調べる検査手法）の閾値を回避する目的で行われているという。

端末内で起動したLegion Loaderは、さらに外部の遠隔サーバーと通信を行い、追加の不正プログラムを次々とダウンロードして実行する挙動を見せる。

脅威の進化と検出のポイント

今回の調査結果は、ClickFixが単なる初歩的なソーシャルエンジニアリングの枠組みにとどまらず、多種多様なマルウェアを確実に送り込むための極めて実効性の高い侵入経路へと進化していることを示している。

Forescoutはこの脅威を軽減・検出するための対策として、不審なPowerShellコマンドの実行履歴の監視や、正当なプログラムに悪意あるライブラリを読み込ませる「DLLサイドローディング」などの不審なイベントを重点的に追跡することが重要であると説明している。