In Breve
- Cosa è TerminalFix?
- TerminalFix è una campagna malevola che sfrutta PowerShell per distribuire malware multi-stage.
- Come funziona TerminalFix?
- Utilizza siti compromessi per indurre gli utenti a eseguire comandi PowerShell, scaricando malware.
- Quali sono i rischi associati a TerminalFix?
- Gli attaccanti possono accedere a sistemi interni, eseguire comandi e distribuire ransomware.
Una nuova campagna malevola, denominata TerminalFix, sta emergendo nel panorama della sicurezza informatica, sfruttando siti web compromessi per ingannare gli utenti. Questa strategia si basa su overlay che imitano il CAPTCHA di Cloudflare, spingendo le vittime a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso.
A differenza delle precedenti campagne, come ClickFix, che si concentravano sul dialogo Esegui, TerminalFix mira direttamente al Terminal o a PowerShell. Questo approccio aumenta la probabilità di esecuzione di script multilinea complessi. Una volta eseguito il comando, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile sideloada la DLL, che a sua volta installa un payload nascosto chiamato client.py.
Il payload, un impianto Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima. Questo consente agli attaccanti di connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo riavvii, facilitando attività di ricognizione sui controller di dominio.
Sebbene non siano stati osservati movimenti laterali effettivi, la combinazione di ricognizione e tunnel inverso può consentire di identificare e accedere a sistemi aggiuntivi. Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete e di indagare su possibili movimenti laterali e esposizioni di credenziali. In una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
