In Breve
- Cosa è TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona TerminalFix?
- Sfrutta siti compromessi per indurre gli utenti a eseguire comandi PowerShell che scaricano malware.
- Quali sono i rischi associati?
- Gli attaccanti possono accedere a sistemi interni, eseguire comandi e compromettere la sicurezza dei dati.
Una nuova campagna malevola, nota come TerminalFix, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo approccio innovativo nella distribuzione di malware. Questa campagna sfrutta siti web compromessi con overlay che imitano il CAPTCHA di Cloudflare, inducendo gli utenti a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell stesso.
A differenza delle precedenti campagne, come ClickFix, che indirizzano gli utenti al dialogo Esegui, TerminalFix si concentra sul Terminal o su PowerShell, aumentando così la probabilità che vengano eseguiti script multilinea complessi. Quando gli utenti eseguono il comando fornito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, a sua volta, effettua il sideload della DLL, che installa un payload nascosto denominato client.py.
Il payload client.py è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima. Questo meccanismo consente agli attaccanti di connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii del sistema. Inoltre, permette di condurre attività di ricognizione sui controller di dominio.
Attualmente, non sono state osservate effettive azioni di movimento laterale, ma la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere sistemi aggiuntivi all’interno della rete compromessa. Gli esperti di sicurezza raccomandano di considerare i dispositivi compromessi come potenziali pivot di rete e di avviare indagini per movimento laterale, oltre a monitorare l’esposizione di credenziali.
In una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e, in scenari estremi, distribuire ransomware. La situazione richiede un’attenzione particolare da parte delle organizzazioni per prevenire potenziali danni e garantire la sicurezza dei propri sistemi.