新聞

工控系統廠商西門子本週警告軟體管理平臺Siemens Software Center用戶，資安漏洞CVE-2026-110936遭到利用，當中提及相關攻擊活動與於Romulus多平臺ClickFix網釣有關，而成為這起事故引起外界關注的焦點。巧合的是，資安公司Forescout在幾天前揭露Romulus，並指出這是專門用於ClickFix網釣活動，被用於散布多種惡意程式的平臺。

Forescout發現攻擊者利用Romulus管理不同惡意軟體的傳遞管道，其中包括遭竄改的Stardock DeElevation安裝套件，以及惡意軟體LegionLoader，該公司一共找到6個Romulus登入介面的IP位址，但無法確認經營者的身分，也尚未確認多種惡意軟體是否由相同駭客團體使用。Forescout強調，Romulus並非針對單一攻擊的惡意軟體伺服器，而是可以根據權杖（Token）提供不同指令碼或安裝程式的後端平臺。

攻擊者利用Romulus的攻擊路徑主要有兩種，第一種是利用PowerShell下載遭竄改的Stardock DeElevation安裝檔，並以靜默安裝方式執行。安裝套件內含遭竄改的DeElevator64.dll，攻擊者藉由DLL側載啟動惡意元件，接續執行後續的惡意程式載入工具。

第二種透過PowerShell連線下載多層加密的7z壓縮檔，並使用7-Zip解壓縮，最終得到LegionLoader。攻擊者刻意將執行檔膨脹至約842 MB，目的是讓檔案大小超出部分沙箱或靜態分析工具的處理限制。LegionLoader能夠讀取Chrome的敏感資料，並取得相關金鑰及蒐集敏感資訊。