La Campagna TerminalFix: Rischi e Implicazioni per la Sicurezza Informatica
Scopri come la campagna malevola TerminalFix sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage, mettendo a rischio la sicurezza delle reti aziendali.
In Breve
- Che cos'è la campagna TerminalFix?
- TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Come funziona il malware di TerminalFix?
- Il malware scarica un eseguibile legittimo e una DLL malevola, installando un payload che consente accesso non autorizzato alla rete interna.
- Quali sono i rischi associati a TerminalFix?
- I rischi includono l'esfiltrazione di dati, l'esecuzione di comandi non autorizzati e la distribuzione di ransomware.
La Campagna TerminalFix: Rischi e Implicazioni per la Sicurezza Informatica
Una nuova campagna malevola, nota come TerminalFix, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo approccio innovativo e pericoloso. Questa campagna sfrutta siti web compromessi che presentano overlay progettati per imitare il CAPTCHA di Cloudflare, inducendo gli utenti a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell stesso.
Meccanismo di Attacco
A differenza delle precedenti campagne, come ClickFix, che si concentravano sul dialogo Esegui, TerminalFix si dirige verso il Terminal o PowerShell. Questo approccio aumenta significativamente la probabilità che gli utenti eseguano script multilinea complessi. Quando un comando viene eseguito, due file vengono scaricati: un eseguibile legittimo e una DLL malevola. L’eseguibile effettua il sideload della DLL, che a sua volta installa un payload nascosto chiamato client.py.
Funzionamento del Payload
Il payload client.py è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel. Questo consente agli attaccanti di accedere alla rete interna della vittima attraverso un proxy in stile SOCKS5. Tale accesso consente di connettersi a sistemi interni, eseguire comandi, mantenere l’accesso anche dopo i riavvii e condurre attività di ricognizione sui controller di dominio.
Rischi e Raccomandazioni
Sebbene non sia stata osservata l’esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso può consentire agli attaccanti di identificare e accedere a sistemi aggiuntivi. Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete e di indagare su eventuali movimenti laterali e esposizione di credenziali. In situazioni di accesso diretto, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.
Conclusioni
La campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, richiedendo una vigilanza costante e misure di protezione adeguate. È fondamentale che le organizzazioni adottino pratiche di sicurezza robuste per prevenire l’accesso non autorizzato e proteggere i propri dati sensibili.
