TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware.

Come funziona il malware di TerminalFix?

Il malware si installa tramite comandi PowerShell copiati dagli utenti, scaricando file malevoli.

Quali sono i rischi associati a TerminalFix?

Gli attaccanti possono accedere a reti interne, eseguire comandi e compromettere dati sensibili.

In Breve

Cos'è TerminalFix?: TerminalFix è una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware.
Come funziona il malware di TerminalFix?: Il malware si installa tramite comandi PowerShell copiati dagli utenti, scaricando file malevoli.
Quali sono i rischi associati a TerminalFix?: Gli attaccanti possono accedere a reti interne, eseguire comandi e compromettere dati sensibili.

TerminalFix: La nuova minaccia informatica che sfrutta Windows Terminal e PowerShell

Una nuova campagna malevola, conosciuta come TerminalFix, sta attirando l’attenzione degli esperti di sicurezza informatica. Questa campagna sfrutta siti web compromessi che utilizzano overlay per imitare il CAPTCHA di Cloudflare, inducendo gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso.

Come funziona TerminalFix

A differenza delle precedenti campagne di attacco, come ClickFix, che si concentrano sul dialogo Esegui, TerminalFix si rivolge direttamente al Terminal o a PowerShell. Questa strategia aumenta significativamente la probabilità che gli utenti eseguano script multilinea complessi.

Quando l’utente esegue il comando, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile effettua il sideload della DLL, che a sua volta installa un payload nascosto denominato client.py. Questo payload, scritto in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.

Le conseguenze del malware

Grazie a questa connessione, gli attaccanti possono accedere ad altri sistemi interni, eseguire comandi e mantenere l’accesso anche dopo i riavvii. Inoltre, possono condurre attività di ricognizione sui controller di dominio. Sebbene non sia stata osservata l’effettiva esecuzione di movimento laterale, la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere sistemi aggiuntivi.

Raccomandazioni per la sicurezza

Gli esperti di sicurezza raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare per eventuali movimenti laterali e esposizione di credenziali. In una fase di hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.

Conclusioni

La campagna TerminalFix rappresenta una minaccia seria per la sicurezza informatica, sfruttando vulnerabilità in strumenti comuni come Windows Terminal e PowerShell. È essenziale che gli utenti e le organizzazioni rimangano vigili e adottino misure preventive per proteggere i propri sistemi e dati.