Allerta sicurezza: la campagna TerminalFix sfrutta PowerShell per diffondere malware
La campagna malevola TerminalFix utilizza Windows Terminal e PowerShell per distribuire malware multi-stage, sfruttando tecniche ingannevoli per compromettere i sistemi.
In Breve
- Cos'è la campagna TerminalFix?
- È una campagna malevola che sfrutta PowerShell per distribuire malware multi-stage.
- Come funziona l'attacco di TerminalFix?
- Induce gli utenti a eseguire comandi PowerShell che scaricano malware sul sistema.
- Quali sono i rischi associati a TerminalFix?
- Può consentire l'accesso non autorizzato alla rete interna e l'esfiltrazione di dati.
Allerta sicurezza: la campagna TerminalFix sfrutta PowerShell per diffondere malware
Una nuova campagna malevola, nota come TerminalFix, sta guadagnando attenzione per il suo approccio innovativo e insidioso nell’infiltrare i sistemi degli utenti. Utilizzando siti web compromessi, questa campagna inganna gli utenti inducendoli a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell stesso.
Meccanismo di attacco
A differenza delle precedenti campagne, come ClickFix, che si concentrano sul dialogo Esegui, TerminalFix mira direttamente al Terminal o a PowerShell. Questa strategia aumenta significativamente la probabilità di esecuzione di script complessi, che possono avere effetti devastanti sui sistemi delle vittime.
Una volta eseguito il comando, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, a sua volta, effettua il sideload della DLL, che installa un payload nascosto denominato client.py.
Funzionamento del payload
Il payload client.py è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel. Questo meccanismo consente agli attaccanti di ottenere un accesso proxy in stile SOCKS5 alla rete interna della vittima, permettendo loro di connettersi ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii.
Inoltre, il payload consente attività di ricognizione sui controller di dominio, un aspetto cruciale per gli attaccanti che cercano di espandere la loro portata all’interno della rete compromessa.
Rischi e raccomandazioni
Nonostante non siano stati osservati casi di movimento laterale effettivo, la combinazione di ricognizione e tunnel inverso può consentire agli attaccanti di identificare e raggiungere sistemi aggiuntivi. Pertanto, è fondamentale trattare i dispositivi compromessi come potenziali pivot di rete.
Si raccomanda di indagare per eventuali movimenti laterali e per l’esposizione di credenziali. In situazioni in cui gli attaccanti hanno accesso diretto, possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.
Conclusioni
La campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, evidenziando la necessità di una vigilanza costante e di misure di sicurezza robuste. Gli utenti e le organizzazioni devono essere consapevoli di queste tecniche e adottare pratiche di sicurezza informatica proattive per proteggere i propri sistemi.
