西門子軟體中心淪陷：CVE-2026-110936與Romulus網釣

工控系統巨頭西門子近期發出警告，指出其軟體管理平臺Siemens Software Center用戶面臨資安威脅，漏洞編號為CVE-2026-110936。這起事故之所以引發外界高度關注，是因為攻擊活動與新興的Romulus多平臺ClickFix網釣密切相關。巧合的是，資安公司Forescout在幾天前才剛揭露Romulus的存在，證實這是一個專門用於ClickFix網釣活動、負責散布多種惡意程式的管理平臺。這顯示出駭客工具鏈正快速演進，從單一攻擊轉向更複雜的後端管理架構。

Romulus並非單一伺服器：靈活傳遞LegionLoader與DeElevation

Forescout的研究發現，Romulus的核心價值在於其作為後端平臺的靈活性，能根據權杖（Token）提供不同的指令碼或安裝程式，而非僅針對單一攻擊。目前已知有6個Romulus登入介面的IP位址，但經營者身分仍成謎。攻擊者主要透過兩種路徑進行：一是利用PowerShell下載遭竄改的Stardock DeElevation安裝套件，透過DLL側載啟動惡意元件；二是下載多層加密的7z壓縮檔，最終解壓出LegionLoader。這種多樣化的傳遞管道讓防禦變得更加困難。

842 MB巨型檔案：規避沙箱分析的關鍵策略

在第二種攻擊路徑中，LegionLoader的執行檔被刻意膨脹至約842 MB，這是一個相當驚人的數字。駭客這樣做的目的是讓檔案大小超出部分沙箱或靜態分析工具的處理限制，從而成功逃過初步檢測。一旦進入系統，LegionLoader便能讀取Chrome瀏覽器的敏感資料，並取得相關金鑰以蒐集更多資訊。這種「體積換時間」的策略，結合ClickFix的使用者互動弱點，構成了當前威脅環境中一個值得警惕的新趨勢。

短評：Romulus的出現標誌著ClickFix攻擊已從單純的網頁誘騙，進化到具備後端管理能力的複雜生態系。