if ( !emtpy($headline_subheadline ) ) : ?>
TerminalFix incite les victimes à exécuter des commandes PowerShell malveillantes, lançant une attaque en plusieurs étapes qui se termine par un tunnel inversé dans le réseau compromis.
endif; ?>
Les attaquants utilisent de fausses invites CAPTCHA pour inciter les victimes à exécuter des commandes PowerShell malveillantes dans le cadre d’une campagne d’intrusion en plusieurs étapes qui peut établir la persistance, effectuer une reconnaissance du réseau et potentiellement donner aux opérateurs un chemin vers un accès plus approfondi au sein d’une organisation.
Microsoft Threat Intelligence a déclaré qu’une campagne appelée TerminalFix, une variante de la technique ClickFix, utilise des sites Web compromis pour afficher une fausse invite de vérification Cloudflare.
Les victimes sont amenées à copier et à exécuter une commande PowerShell malveillante, démarrant une chaîne d’attaque impliquant le chargement latéral de DLL, des charges utiles cachées dans des images PNG, la persistance, la reconnaissance Active Directory et, éventuellement, un implant de tunnel inversé personnalisé.
« Alors que les campagnes ClickFix traditionnelles dirigent les victimes vers la boîte de dialogue Exécuter de Windows, les campagnes TerminalFix appliquent la même technique mais dirigent les utilisateurs vers Windows Terminal ou PowerShell, augmentant ainsi la probabilité que des scripts complexes et multilignes s’exécutent avec succès », a déclaré la société dans un article de blog.
L’entreprise a fourni une couverture de détection, des IOC, des requêtes de chasse ainsi que des conseils d’atténuation et de réponse pour les activités observées.
« Prouvez que vous êtes humain » devient décidément inhumain
L’attrait initial est une fausse superposition de vérification Cloudflare CAPTCHA affichée sur les sites Web compromis. Mais au lieu de simplement demander à un visiteur de cliquer sur une case à cocher, l’invite demande de copier et d’exécuter une commande PowerShell.
La commande télécharge une archive ZIP contenant un binaire Windows légitime, « LockScreenContentServer.exe », ainsi qu’une DLL malveillante appelée « dui70.dll ». Ces deux éléments sont ensuite utilisés pour le chargement latéral de DLL, une technique dans laquelle un exécutable légitime charge une bibliothèque malveillante.
La DLL téléchargée télécharge des charges utiles supplémentaires dissimulées dans les images PNG à l’aide de la sténographie, a déclaré Microsoft. Il établit également la persistance via l’exécution du registre et les tâches planifiées, garantissant ainsi que le logiciel malveillant dispose de plusieurs moyens de survivre sur le système compromis.
L’attaque passe ensuite à la reconnaissance. Microsoft a observé le malware énumérant les approbations de domaine, recherchant des administrateurs de domaine, extrayant les descriptions des utilisateurs d’Active Directory et effectuant des balayages ping ciblés pour identifier les systèmes accessibles.
L’acte final est un tunnel dans le réseau
La charge utile finale de la campagne est un implant à tunnel inversé personnalisé basé sur Python.
Après avoir téléchargé un runtime Python et un client de tunneling, le malware utilise pythonw.exe pour lancer l’implant sans fenêtre visible, a expliqué Microsoft.
L’implant établit ensuite une connexion WebSocket cryptée à l’infrastructure contrôlée par l’attaquant, créant ce que Microsoft décrit comme un accès proxy TCP complet de type SOCKS via l’hôte compromis.
Plutôt que de simplement garder le contrôle d’un seul point final, l’attaquant peut potentiellement utiliser l’appareil infecté comme pont vers le réseau interne. Microsoft a déclaré que l’activité de reconnaissance et la capacité de tunnel inversé pourraient permettre à un opérateur d’identifier et d’atteindre des systèmes supplémentaires à partir de l’hôte compromis.
Microsoft a souligné qu’il n’avait pas observé les actions en aval qui pourraient suivre dans la campagne analysée. Mais l’accès obtenu pourrait constituer la base d’un mouvement latéral, d’une élévation de privilèges, d’un vol de données ou d’autres activités ultérieures. Microsoft a recommandé d’enquêter minutieusement sur les hôtes concernés et de rechercher une exécution inhabituelle de LockScreenContentServer.exe à partir de chemins non standard, d’une activité PowerShell suspecte, de répertoires de charge utile cachés et de connexions sortantes inhabituelles associées à la campagne.
