TerminalFix: La nuova minaccia informatica che sfrutta Windows Terminal e PowerShell
In Breve
- Cos'è la campagna TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona l'attacco di TerminalFix?
- L'attacco induce gli utenti a eseguire comandi PowerShell che scaricano un eseguibile legittimo e una DLL malevola.
- Quali sono le conseguenze di un'infezione da TerminalFix?
- Gli attaccanti possono mantenere l'accesso ai sistemi interni, eseguire comandi e condurre attività di ricognizione.
TerminalFix: La nuova minaccia informatica che sfrutta Windows Terminal e PowerShell
Una nuova campagna malevola, nota come TerminalFix, sta emergendo nel panorama della sicurezza informatica, sfruttando siti web compromessi per ingannare gli utenti. Questa campagna utilizza overlay che imitano il CAPTCHA di Cloudflare per indurre gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso.
Strategia di attacco
A differenza delle precedenti campagne, come ClickFix, che si concentrano sul dialogo Esegui, TerminalFix punta direttamente al Terminal o a PowerShell. Questa strategia aumenta la probabilità di esecuzione di script multilinea complessi, rendendo l’attacco più efficace.
Meccanismo di infezione
Quando un utente esegue il comando fornito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile effettua il sideload della DLL, che installa un payload nascosto chiamato client.py. Questo payload, sviluppato in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.
Le conseguenze dell’attacco
Grazie a questo accesso, gli attaccanti possono connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii. Inoltre, possono condurre attività di ricognizione sui controller di dominio. Anche se non è stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere ulteriori sistemi vulnerabili.
Raccomandazioni per la sicurezza
Gli esperti di sicurezza informatica raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare per movimento laterale e per eventuale esposizione di credenziali. Durante una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
Conclusione
La campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, in particolare per gli utenti di Windows. È essenziale adottare misure preventive e rimanere informati sulle nuove tecniche di attacco per proteggere i propri sistemi e dati.
