In Breve
- Cosa è la campagna TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona l'attacco di TerminalFix?
- Gli attaccanti inducono gli utenti a eseguire comandi PowerShell che scaricano un eseguibile e una DLL malevola.
- Quali sono i rischi associati a TerminalFix?
- Il malware può consentire accessi non autorizzati e attività di ricognizione nelle reti interne.
Una nuova campagna malevola, denominata TerminalFix, ha attirato l’attenzione degli esperti di sicurezza informatica per la sua capacità di sfruttare Windows Terminal e PowerShell per distribuire malware multi-stage. A differenza delle precedenti campagne, come ClickFix, che si concentravano sul dialogo Esegui, TerminalFix si rivolge direttamente al Terminal e a PowerShell, aumentando la probabilità che gli utenti eseguano script complessi.
Il meccanismo di attacco inizia con siti web compromessi che presentano overlay simili al CAPTCHA di Cloudflare. Questi overlay inducono gli utenti a copiare e incollare comandi PowerShell, avviando così il processo di infezione. L’esecuzione di questi comandi provoca il download di due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, a sua volta, esegue il sideload della DLL, che installa un payload nascosto chiamato client.py.
Il payload è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, consentendo agli attaccanti di ottenere un accesso proxy in stile SOCKS5 alla rete interna della vittima. Questo accesso consente agli attaccanti di connettersi ad altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo i riavvii e condurre attività di ricognizione sui controller di dominio.
Sebbene non sia stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso può consentire agli attaccanti di identificare e raggiungere sistemi aggiuntivi. Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete, suggerendo di indagare per eventuali movimenti laterali e esposizioni di credenziali.
In una fase hands-on-keyboard, gli attaccanti possono infatti scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware. La situazione richiede un’attenzione particolare da parte delle organizzazioni, che devono implementare misure di sicurezza adeguate per prevenire tali attacchi.
