Microsoft Threat Intelligence ha individuato una nuova campagna malware denominata TerminalFix, una variante della tecnica ClickFix che combina ingegneria sociale, PowerShell, DLL sideloading, steganografia e un sofisticato meccanismo di reverse tunneling.
L’attacco, osservato contro organizzazioni di diversi settori, parte da una tecnica ormai nota ma particolarmente efficace, ovvero la falsa verifica CAPTCHA.
Ma la differenza rispetto alle campagne ClickFix più tradizionali è soprattutto nell’obiettivo finale. Invece di limitarsi alla distribuzione di un infostealer, TerminalFix costruisce una catena di compromissione multistadio che consente agli operatori di ottenere un accesso persistente alla rete della vittima.
Tuttavia, Microsoft sottolinea che non sono state osservate, nella catena analizzata, le successive attività di movimento laterale o di distribuzione di ransomware.
Fonte: Microsoft.
Indice degli argomenti
Il falso CAPTCHA come punto di ingresso
L’infezione inizia quando l’utente raggiunge un sito web compromesso. La pagina viene sostituita da una falsa interfaccia Cloudflare Turnstile che invita la vittima a completare una verifica per dimostrare di essere un umano.
Il meccanismo sfrutta la fiducia che l’utente ha nei confronti delle verifiche CAPTCHA inducendolo a copiare e incollare un comando apparentemente necessario per completare tale verifica.
In realtà, il comando avvia PowerShell e rappresenta il primo passaggio dell’infezione.
Fonte: Microsoft.
L’attacco TerminalFix modifica quindi il comportamento tipico di una campagna ClickFix. Invece di utilizzare esclusivamente la finestra Esegui di Windows, in questo caso, il comando viene eseguito attraverso Windows Terminal o PowerShell, rendendo più semplice l’esecuzione di comandi complessi e di script multilinea.
DLL sideloading e payload nascosti
Una volta avviato, PowerShell scarica un archivio ZIP che contiene un programma apparentemente legittimo, chiamato LockScreenContentServer.exe, insieme a una DLL denominata dui70.dll. È proprio questa combinazione a permettere agli attaccanti di proseguire l’infezione.
LockScreenContentServer.exe, infatti, è un eseguibile legittimo che necessita della libreria dui70.dll per funzionare. Gli attaccanti sfruttano proprio questo normale meccanismo di Windows inserendo nella stessa cartella una DLL malevola con lo stesso nome della libreria attesa (dui70.dll).
Quando il programma viene avviato, Windows cerca e carica la DLL richiesta e finisce così per eseguire il codice malevolo contenuto nella libreria contraffatta.
Questa tecnica è chiamata DLL sideloading e permette di sfruttare un programma legittimo come tramite per eseguire codice malevolo. In questo caso, inoltre, il codice contenuto nella DLL è fortemente offuscato, rendendo più difficile individuarne immediatamente la natura.
Fonte: Microsoft.
La catena prosegue con il download di immagini PNG. Questi file non sono semplici immagini utilizzate come esca, ma contengono payload incorporati nei canali RGBA di ciascun pixel attraverso tecniche di steganografia.
La DLL recupera i dati incorporati nei file e ricostruisce sulla macchina compromessa ulteriori componenti dell’infezione.
La combinazione di DLL sideloading e steganografia permette agli attaccanti di nascondere parte dell’attività malevola dietro file e software apparentemente innocui, complicandone l’individuazione tramite semplice controllo dei file scaricati.
Persistenza e ricognizione della rete
Una volta completata l’infezione, TerminalFix crea anche meccanismi di persistenza attraverso attività pianificate. Una delle attività osservate consente di rieseguire periodicamente il componente utilizzato per il DLL sideloading mentre la fase successiva è dedicata alla ricognizione dell’ambiente Active Directory.
Il malware raccoglie informazioni sui domini, sulle relazioni di trust, sugli amministratori di dominio, sugli utenti e sui computer presenti nell’infrastruttura.
Vengono, inoltre, effettuati ping mirati verso server specifici per mappare la topologia della rete interna.
Fonte: Microsoft.
Questa attività suggerisce un obiettivo molto più ambizioso rispetto al semplice furto di informazioni dal dispositivo inizialmente compromesso. L’host infetto viene infatti trasformato in una piattaforma dalla quale analizzare e potenzialmente raggiungere altre risorse interne.
Il reverse tunnel cambia la natura della minaccia
Il componente più interessante della campagna è il reverse tunnel. Microsoft ha osservato il deployment di un runtime Python legittimo accompagnato da uno script denominato client.py. contenente la logica malevola.
In pratica, il componente viene avviato attraverso pythonw.exe, evitando la comparsa di una shell visibile, e stabilisce un tunnel WebSocket cifrato verso l’infrastruttura controllata dagli attaccanti.
Fonte: Microsoft.
Il risultato è particolarmente significativo perché il computer compromesso può diventare un proxy per il traffico dell’attaccante.
Il reverse tunnel permette, infatti, di instradare traffico TCP attraverso la macchina vittima, fornendo potenzialmente accesso alle risorse raggiungibili dalla rete interna.
La lezione per la sicurezza aziendale
TerminalFix dimostra ancora una volta come ClickFix stia evolvendo da semplice tecnica di social engineering a vero e proprio meccanismo di accesso iniziale per intrusioni più articolate.
La principale difesa rimane comunque la capacità di impedire agli utenti di eseguire comandi ricevuti attraverso pagine web, CAPTCHA, e-mail o altri contenuti apparentemente legittimi.
Allo stesso tempo, i team di sicurezza dovrebbero monitorare l’esecuzione anomala di PowerShell, il DLL sideloading, la creazione di attività pianificate e chiavi di persistenza, il download di payload tramite immagini e soprattutto connessioni WebSocket insolite originate da endpoint aziendali.
Microsoft indica, inoltre, come infrastruttura osservata per il reverse tunnel il dominio gitnow[.]dev, mentre per la distribuzione dei payload nascosti nelle immaginii dominibestsocialmedianewspapper[.]com e offlineupdater[.]com. Questi indicatori possono essere utilizzati per attività di threat hunting e monitoraggio. TerminalFix rappresenta quindi un ulteriore segnale dell’evoluzione di ClickFix.
La tecnica non si limita più a convincere l’utente a installare un malware, ma può diventare il primo anello di una catena capace di trasformare una singola workstation compromessa in un punto di accesso alla rete aziendale.
Partecipa alla community