In Breve
- Che cos'è TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona l'attacco di TerminalFix?
- L'attacco sfrutta siti compromessi per indurre gli utenti a eseguire comandi PowerShell, scaricando malware nel sistema.
- Quali sono i rischi associati a TerminalFix?
- I rischi includono accesso non autorizzato ai sistemi interni, esfiltrazione di dati e distribuzione di ransomware.
Una nuova campagna malevola, denominata TerminalFix, sta emergendo nel panorama della sicurezza informatica, sfruttando vulnerabilità nei sistemi Windows per distribuire malware multi-stage. Questa campagna si distingue per il suo approccio innovativo, utilizzando siti web compromessi con overlay che imitano il CAPTCHA di Cloudflare per indurre gli utenti a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell.
A differenza delle precedenti campagne, come le note ClickFix, che si concentravano sul dialogo Esegui, TerminalFix punta specificamente al Terminal o a PowerShell. Questo cambiamento strategico aumenta la probabilità di esecuzione di script multilinea complessi, rendendo l’attacco più efficace.
Quando un utente esegue il comando fornito, il sistema scarica due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, a sua volta, effettua il sideload della DLL, che installa un payload nascosto denominato client.py. Questo payload, scritto in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.
Grazie a questa connessione, gli attaccanti possono connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii del sistema. Inoltre, possono condurre attività di ricognizione sui controller di dominio, aumentando il rischio di ulteriori compromissioni.
Fino ad ora, non sono state osservate evidenze di movimento laterale effettivo, ma la combinazione di ricognizione e tunnel inverso potrebbe consentire agli attaccanti di identificare e raggiungere sistemi aggiuntivi. Gli esperti di sicurezza raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete, suggerendo indagini approfondite per rilevare eventuali movimenti laterali e l’esposizione di credenziali.
In situazioni in cui gli attaccanti hanno accesso diretto, possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware. È quindi fondamentale che gli utenti e le organizzazioni adottino misure di sicurezza proattive per proteggere i propri sistemi da questa minaccia emergente.
