Legion Loader è un payload malware denominato, associato all’attività di distribuzione ROMULUS segnalata. Un loader è un malware progettato per introdurre o avviare ulteriore codice dannoso su un sistema. Il contesto disponibile identifica Legion Loader come un payload, ma non stabilisce una specifica catena di infezione, un operatore o un impatto confermato sulle vittime.
I loader sono importanti perché possono fungere da punto di ingresso per ulteriori compromissioni, rendendo utile rilevarli anche quando il malware successivo non è ancora noto. In un attacco in stile ClickFix, una pagina web ingannevole può indurre qualcuno a eseguire un comando predisposto dall’attaccante; quel comando può attivare o recuperare un payload. I difensori possono ridurre i rischi avvertendo gli utenti di non eseguire comandi forniti dai siti web, limitando ove possibile gli strumenti di scripting e monitorando attività sospette da riga di comando, soprattutto quando seguono l’attività del browser.