TerminalFix: La Nuova Minaccia Maligna che Sfrutta PowerShell per Attacchi Multi-Stage

Una nuova campagna malevola, nota come TerminalFix, sta attirando l’attenzione degli esperti di sicurezza informatica. Questa strategia sfrutta siti web compromessi che presentano overlay simili al CAPTCHA di Cloudflare per indurre gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso. A differenza delle precedenti campagne ClickFix, che reindirizzavano gli utenti al dialogo Esegui, TerminalFix si concentra su strumenti più avanzati, aumentando le probabilità di esecuzione di script multilinea complessi.

Meccanismo di Attacco

Quando un utente esegue il comando suggerito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile avvia un processo di sideloading della DLL, che a sua volta installa un payload nascosto chiamato client.py. Questo payload è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.

Implicazioni per la Sicurezza

Grazie a questa connessione, gli attaccanti possono connettersi ad altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo un riavvio e condurre attività di ricognizione sui controller di dominio. Sebbene non siano stati osservati movimenti laterali effettivi, la combinazione di ricognizione e tunnel inverso potrebbe consentire agli aggressori di identificare e accedere a sistemi aggiuntivi.

Raccomandazioni per la Difesa

Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare su possibili movimenti laterali e sull’esposizione di credenziali. In una fase in cui gli attaccanti hanno accesso fisico alla tastiera, possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.

Conclusioni

La campagna TerminalFix rappresenta una minaccia significativa per la sicurezza informatica, sfruttando vulnerabilità comuni e tecniche avanzate per infiltrarsi nei sistemi. È essenziale che le organizzazioni implementino misure di sicurezza robuste e formazioni per gli utenti per prevenire tali attacchi.