Microsoft a dezvăluit, potrivit The Hacker News, o nouă variantă de atac cibernetic denumită TerminalFix, care păcălește utilizatorii să execute comenzi periculoase direct în Windows Terminal sau PowerShell, spre deosebire de atacurile clasice de tip ClickFix, care vizau fereastra Run din Windows.
Campania pornește de la site-uri web compromise, unde victimelor li se afișează o verificare CAPTCHA falsă, imitând Cloudflare, care le cere să copieze și să execute o comandă PowerShell malițioasă. Aceasta descarcă o arhivă ZIP conținând un executabil legitim și un fișier DLL rău intenționat, folosit pentru o tehnică numită DLL sideloading.
DLL-ul compromis extrage apoi payload-uri ascunse în imagini PNG, descărcate de pe domenii externe, asigură persistența în sistem prin chei de registru și task-uri programate, efectuează recunoaștere în rețeaua Active Directory și instalează un implant Python de tip reverse-tunnel, care permite atacatorilor acces la rețeaua internă a victimei printr-un canal WebSocket criptat.
Microsoft avertizează că acest tip de acces poate fi folosit pentru escaladarea privilegiilor, dezactivarea măsurilor de securitate, exfiltrarea datelor și instalarea de ransomware, recomandând restricționarea execuției PowerShell pentru utilizatorii standard, monitorizarea semnelor de DLL sideloading și instruirea angajaților privind atacurile de tip ClickFix.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
