Security · 20.10.2026
Die neu entdeckte Malware-Plattform ROMULUS nutzt die manipulative ClickFix-Methode, um Schadsoftware wie den Legion Loader auf den Systemen von Unternehmen zu installieren.
Sicherheitsforscher haben eine neue Malware-Plattform namens ROMULUS identifiziert, die Schadsoftware über die sogenannte ClickFix-Methode verbreitet. Dabei werden Nutzer durch gefälschte Fehlermeldungen im Browser dazu verleitet, schädliche Befehle direkt in die Befehlszeile ihres Betriebssystems einzufügen. Über diesen Weg installieren Angreifer unter anderem den Legion Loader sowie weitere gefährliche Trojaner im Netzwerk von Unternehmen.
Diese Angriffsnetzwerke stellen für Unternehmen und IT-Verantwortliche im DACH-Raum eine erhebliche Bedrohung dar, da sie klassische E-Mail-Filter und Sicherheitsgateways umgehen. Die Angreifer nutzen das Vertrauen der Anwender aus, indem sie täuschend echte Fehlermeldungen von bekannten Diensten wie Microsoft Teams, Outlook oder Webbrowsern simulieren. Sobald ein Mitarbeiter den vorgeschlagenen „Fix“ (meist ein PowerShell-Skript) kopiert und manuell ausführt, erhält die Schadsoftware tiefe Systemrechte. Dies kann zur Kompromittierung des gesamten Active Directory, zum Diebstahl von Zugangsdaten (Credential Stealing) oder zur Vorbereitung von Ransomware-Angriffen führen. Da die Ausführung durch den legitimen Benutzer selbst initiiert wird, schlagen traditionelle verhaltensbasierte Erkennungsmethoden oft erst verspätet an.
Um Netzwerke gegen Angriffe über Plattformen wie ROMULUS abzusichern, sollten IT-Administratoren und Sicherheitsverantwortliche umgehend folgende Maßnahmen ergreifen:
Die ROMULUS-Kampagne zeigt deutlich, dass Cyberkriminelle verstärkt auf die direkte Interaktion mit dem Anwender setzen, um technische Schutzbarrieren auszuhebeln. Ein restriktives Berechtigungsmanagement und die gezielte Aufklärung der Anwender sind hierbei die wirksamsten Verteidigungslinien für Unternehmen.
Quelle: The Hacker News