【 資安警訊 】- ClickFix 網釣出現多管道惡意酬載傳遞管理平臺 Romulus，散布竄改安裝檔與LegionLoader

發布編號：OIS-CTI-2026-10-002

情資來源：iThome

事件類型：攻擊活動警訊公告

內容說明：

資安公司 Forescout 揭露專用於 ClickFix 網釣活動的惡意酬載傳遞管理平臺 Romulus，攻擊者可藉由 PowerShell 指令碼散布遭竄改的 MSI 安裝檔，或植入惡意程式載入工具 LegionLoader。

工控系統廠商西門子本週警告軟體管理平臺 Siemens Software Center 用戶，資安漏洞 CVE-2026-110936 遭到利用，其中提及相關攻擊活動與 Romulus 多平臺 ClickFix 網釣有關，使這起事故受到外界關注。資安公司 Forescout 在數日前已揭露 Romulus，指出這是專門用於 ClickFix 網釣活動、被用於散布多種惡意程式的平臺。

Forescout 發現，攻擊者利用 Romulus 管理不同惡意軟體的傳遞管道，其中包括遭竄改的 Stardock DeElevation 安裝套件，以及惡意軟體 LegionLoader。該公司一共找到 6 個 Romulus 登入介面的 IP 位址，但無法確認經營者的身分，也尚未確認多種惡意軟體是否由相同駭客團體使用。Forescout 強調，Romulus 並非針對單一攻擊的惡意軟體伺服器，而是可依權杖（Token）提供不同指令碼或安裝程式的後端平臺。

攻擊者利用 Romulus 的攻擊路徑主要有兩種。第一種是利用 PowerShell 下載遭竄改的 Stardock DeElevation 安裝檔，並以靜默安裝方式執行；安裝套件內含遭竄改的 DeElevator64.dll，攻擊者藉由 DLL 側載啟動惡意元件，接續執行後續的惡意程式載入工具。

第二種是透過 PowerShell 連線下載多層加密的 7z 壓縮檔，並使用 7-Zip 解壓縮，最終得到 LegionLoader。攻擊者刻意將執行檔膨脹至約 842 MB，目的是讓檔案大小超出部分沙箱或靜態分析工具的處理限制。LegionLoader 能夠讀取 Chrome 的敏感資料，並取得相關金鑰及蒐集敏感資訊。

影響平台：

受影響的對象包括

●       Siemens Software Center 用戶（CVE-2026-110936 已遭利用，受影響版本與修補方式請依西門子原廠公告確認）

●       遭 ClickFix 網釣誘導執行 PowerShell 指令的終端環境，可能被植入遭竄改的 Stardock DeElevation 安裝檔或 LegionLoader，Chrome 瀏覽器內的敏感資料與金鑰有外洩風險

建議措施：

使用 Siemens Software Center 的單位，請依西門子原廠公告儘速處理 CVE-2026-110936。針對 ClickFix 類網釣，應加強使用者教育，提醒不要依網頁指示將內容貼到 PowerShell 或執行視窗中執行。資安監控方面，建議偵測由 PowerShell 下載並靜默安裝 MSI、下載 7z 壓縮檔後以 7-Zip 解壓縮、DeElevator64.dll 的 DLL 側載，以及體積異常龐大（約 842 MB）的可執行檔。若懷疑終端已遭感染，應視 Chrome 儲存的帳號密碼與工作階段資料已外洩，進行密碼重設並撤銷相關登入工作ㄋ。