In Breve
- Cosa è la campagna TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona il malware di TerminalFix?
- Il malware utilizza comandi PowerShell per scaricare un eseguibile e una DLL malevola, installando un payload che consente accesso alla rete interna.
- Quali sono i rischi associati a TerminalFix?
- I rischi includono l'esecuzione di comandi non autorizzati, l'esfiltrazione di dati sensibili e la distribuzione di ransomware.
La Campagna TerminalFix: Un Nuovo Rischio per la Sicurezza Informatica
Una recente campagna malevola, nota come TerminalFix, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo approccio innovativo e insidioso. Utilizzando siti web compromessi, questa campagna sfrutta overlay che imitano il CAPTCHA di Cloudflare per indurre gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso.
Come Funziona TerminalFix
A differenza di precedenti campagne come ClickFix, che puntavano al dialogo Esegui, TerminalFix si concentra sul Terminal o su PowerShell. Questo cambiamento strategico aumenta la probabilità che gli utenti eseguano script multilinea complessi. Quando un comando viene eseguito, si attivano il download di due file: un eseguibile legittimo e una DLL malevola. L’eseguibile a sua volta effettua il sideload della DLL, che installa un payload nascosto denominato client.py.
Le Conseguenze del Payload
Il payload client.py è un impianto Python che crea una connessione WebSocket crittografata di tipo reverse tunnel. Questo tunnel fornisce accesso proxy in stile SOCKS5 alla rete interna della vittima, consentendo agli attaccanti di connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii. Inoltre, la campagna permette di condurre attività di ricognizione sui controller di dominio.
Rischi e Raccomandazioni
Sebbene non sia stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere sistemi aggiuntivi. Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete e di indagare per movimento laterale ed eventuale esposizione di credenziali. In una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
Conclusioni
La campagna TerminalFix rappresenta una nuova frontiera nelle minacce informatiche, sfruttando tecniche avanzate per eludere le difese tradizionali. È fondamentale che le organizzazioni adottino misure preventive e monitorino costantemente i propri sistemi per mitigare i rischi associati a questo tipo di attacco.
