In Breve
- Cosa è TerminalFix?
- TerminalFix è una campagna malevola che utilizza Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona TerminalFix?
- Induce gli utenti a eseguire comandi PowerShell che scaricano un eseguibile legittimo e una DLL malevola, installando un payload nascosto.
- Quali sono i rischi di TerminalFix?
- Consente accesso proxy alla rete interna, potenziale esfiltrazione di dati e distribuzione di ransomware.
Una nuova minaccia informatica, denominata TerminalFix, sta destando preoccupazione tra gli esperti di sicurezza. Questa campagna malevola sfrutta siti web compromessi, utilizzando overlay che imitano il CAPTCHA di Cloudflare per indurre gli utenti a eseguire comandi PowerShell nel Windows Terminal o in PowerShell. L’obiettivo è aumentare la probabilità di esecuzione di script complessi e multi-stage.
Una volta eseguito il comando, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile effettua il sideload della DLL, che installa un payload nascosto denominato client.py. Questo payload è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.
Questa tecnica consente agli attaccanti di connettersi ad altri sistemi interni, eseguire comandi, mantenere l’accesso dopo i riavvii e condurre attività di ricognizione sui controller di dominio. Anche se non è stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso potrebbe permettere di identificare e raggiungere sistemi aggiuntivi.
Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete e di indagare per eventuali movimenti laterali ed esposizione di credenziali. In una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
Per proteggersi da queste minacce, è fondamentale mantenere aggiornati i sistemi di sicurezza, educare gli utenti sui rischi associati all’esecuzione di comandi non verificati e monitorare attentamente le attività di rete per rilevare comportamenti anomali.