In Breve
- Che cos'è TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona TerminalFix?
- Sfrutta siti web compromessi per indurre gli utenti a eseguire comandi PowerShell, scaricando malware sul dispositivo.
- Quali sono i rischi associati a TerminalFix?
- Gli attaccanti possono accedere a reti interne, eseguire comandi e rubare dati sensibili.
Una nuova campagna malevola, nota come TerminalFix, sta emergendo nel panorama della sicurezza informatica, sfruttando vulnerabilità nei sistemi operativi Windows. Questa minaccia si distingue per l’uso di siti web compromessi che presentano overlay ingannevoli, simili ai CAPTCHA di Cloudflare, per indurre gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o direttamente in PowerShell.
A differenza delle precedenti campagne di malware, come le note ClickFix, che reindirizzano gli utenti al dialogo Esegui, TerminalFix si concentra su Windows Terminal e PowerShell. Questo approccio aumenta significativamente la probabilità che gli utenti eseguano script complessi e multilinea, aprendo la porta a potenziali attacchi informatici.
Una volta eseguito il comando malevolo, il sistema scarica due file: un eseguibile legittimo e una DLL malevola. L’eseguibile avvia un processo di sideloading della DLL, che a sua volta installa un payload nascosto denominato client.py. Questo payload, sviluppato in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, consentendo agli attaccanti di ottenere accesso proxy in stile SOCKS5 alla rete interna della vittima.
Grazie a questa connessione, gli aggressori possono interagire con altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo i riavvii e condurre attività di ricognizione sui controller di dominio. Anche se finora non sono stati osservati movimenti laterali effettivi, la combinazione di ricognizione e tunnel inverso offre la possibilità di identificare e raggiungere ulteriori sistemi vulnerabili.
Gli esperti di sicurezza informatica raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare su eventuali movimenti laterali e sull’esposizione di credenziali. In uno scenario in cui gli attaccanti hanno accesso diretto, possono scalare privilegi, disabilitare i controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.
In conclusione, la campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, evidenziando l’importanza di una vigilanza costante e di misure di sicurezza adeguate per proteggere i sistemi da attacchi sempre più sofisticati.
