In Breve
- Cosa è la campagna TerminalFix?
- Una campagna malevola che sfrutta PowerShell per distribuire malware multi-stage sui sistemi Windows.
- Come funziona il malware di TerminalFix?
- Utilizza siti compromessi per indurre gli utenti a eseguire comandi che scaricano un eseguibile e una DLL malevola.
- Quali sono i rischi associati a TerminalFix?
- Consente accesso non autorizzato alla rete interna e potenziali attacchi mirati.
Campagna TerminalFix: Un Nuovo Pericolo per gli Utenti di Windows
Una nuova campagna malevola, denominata TerminalFix, sta suscitando preoccupazioni tra gli esperti di sicurezza informatica. Questa operazione sfrutta siti web compromessi che utilizzano overlay per imitare il CAPTCHA di Cloudflare, inducendo gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso.
Come Funziona TerminalFix
A differenza delle precedenti campagne di malware, come ClickFix, che si concentravano sull’interfaccia di dialogo Esegui, TerminalFix punta direttamente al Terminal o a PowerShell. Questo approccio aumenta la probabilità che gli utenti eseguano script multilinea complessi, facilitando l’installazione del malware.
Quando un utente esegue il comando fornito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile effettua il sideloading della DLL, che a sua volta installa un payload nascosto chiamato client.py.
Le Implicazioni del Payload
Il payload client.py è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel. Questo consente agli attaccanti di ottenere un accesso proxy in stile SOCKS5 alla rete interna della vittima, permettendo loro di connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii del sistema.
Inoltre, la campagna consente attività di ricognizione sui controller di dominio, aumentando il rischio di esposizione dei dati sensibili e di attacchi più mirati.
Raccomandazioni per gli Utenti
Sebbene non sia stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di attività di ricognizione e tunnel inverso potrebbe consentire agli attaccanti di identificare e raggiungere sistemi aggiuntivi. Pertanto, è fondamentale trattare i dispositivi compromessi come potenziali pivot di rete.
Si raccomanda agli utenti di indagare per eventuali movimenti laterali e di prestare attenzione all’esposizione delle credenziali. In una fase di hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
Conclusioni
La campagna TerminalFix rappresenta un serio rischio per la sicurezza informatica degli utenti di Windows. È essenziale che gli utenti siano consapevoli di queste minacce e adottino misure preventive per proteggere i propri sistemi e dati.