Campagna TerminalFix: una nuova minaccia informatica tramite PowerShell
La campagna TerminalFix sfrutta vulnerabilità nei siti web per distribuire malware attraverso Windows Terminal e PowerShell, aumentando il rischio per gli utenti.
In Breve
- Cosa è la campagna TerminalFix?
- Una campagna malevola che sfrutta siti web compromessi per distribuire malware tramite PowerShell.
- Come funziona TerminalFix?
- Induce gli utenti a eseguire comandi PowerShell per scaricare un eseguibile e una DLL malevola.
- Quali sono i rischi associati a TerminalFix?
- Possibilità di accesso non autorizzato alla rete interna e potenziale esfiltrazione di dati.
Una nuova campagna malevola, conosciuta come TerminalFix, si sta diffondendo sfruttando vulnerabilità in siti web compromessi. Questa minaccia si distingue per l’uso di overlay che imitano il CAPTCHA di Cloudflare, inducendo gli utenti a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell stesso.
A differenza delle precedenti campagne, come ClickFix, che reindirizzano gli utenti al dialogo Esegui, TerminalFix si concentra su Terminal e PowerShell. Questo approccio aumenta notevolmente la probabilità di esecuzione di script complessi e multilinea, rendendo la minaccia ancora più insidiosa.
Quando l’utente esegue il comando, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile si occupa del sideloading della DLL, che a sua volta installa un payload nascosto denominato client.py. Questo payload, scritto in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo agli attaccanti un accesso proxy in stile SOCKS5 alla rete interna della vittima.
Grazie a questa connessione, gli attaccanti possono accedere ad altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo i riavvii e condurre attività di ricognizione sui controller di dominio. Sebbene non siano stati osservati movimenti laterali effettivi, la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere ulteriori sistemi vulnerabili.
Gli esperti di sicurezza informatica raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare su eventuali movimenti laterali e sull’esposizione di credenziali, poiché durante una fase di attacco attivo, gli aggressori possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e distribuire ransomware.
In conclusione, la campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, e gli utenti sono invitati a prestare attenzione alle pratiche di sicurezza, evitando di eseguire comandi sospetti e mantenendo aggiornati i propri sistemi di protezione.