SandIA (Buenos Aires, 20 de octubre de 2026).- La firma Forescout Research - Vedere Labs reveló detalles sobre ROMULUS, una plataforma de distribución de programas dañinos que utiliza la técnica ClickFix para infectar dispositivos, según informó el medio especializado The Hacker News.
Modalidad de engaño y servicios cibercriminales
La investigación determinó que ROMULUS funciona como un servicio de entrega de amenazas informáticas que emplea señuelos en páginas web falsas. El sistema manipula a las víctimas para que ejecuten comandos maliciosos y comprometan sus propios equipos. El especialista en seguridad Sai Molige explicó que el sistema podría operar como un panel privado, un servicio cibercriminal comercial, un marco de afiliados o un software copiado entre distintos operadores.
Vínculos técnicos e infraestructura detectada
Los analistas identificaron la dirección IP 96.62.224.81 vinculada al alojamiento de secuencias de comandos y archivos de instalación en campañas relacionadas con versiones maliciosas de ChatGPT Custom GPTs. Asimismo, se detectó que el servidor 86.109.75.7 alojó el panel de ROMULUS y distribuyó, mediante scripts de PowerShell, el ejecutable Legion Loader, conocido también con los nombres Satacom downloader, CurlyGate y RobotDropper.
Vector de ataque y mecanismos de evasión
La plataforma expone dos puntos de acceso diseñados para descargar secuencias de comandos iniciales en PowerShell. Estos archivos determinan si entregan un instalador alterado o un archivo comprimido encriptado. En este último caso, el paquete se infla hasta alcanzar casi 1 GB de peso mediante relleno repetitivo, una táctica orientada a eludir los límites de carga, superar los presupuestos de análisis en entornos sandbox y evitar los umbrales de revisión estática de los antivirus.