Campagna TerminalFix: un nuovo malware sfrutta Windows Terminal e PowerShell

Una nuova campagna malevola, nota come TerminalFix, sta emergendo come una seria minaccia informatica. Questo attacco sfrutta siti web compromessi che presentano overlay ingannevoli, simili al CAPTCHA di Cloudflare, per indurre gli utenti a copiare e incollare comandi PowerShell direttamente nel Windows Terminal o in PowerShell stesso.

A differenza delle precedenti campagne di attacco, come quelle denominate ClickFix, che si concentrano sul dialogo Esegui, TerminalFix si rivolge al Terminal e a PowerShell. Questa strategia aumenta la probabilità di esecuzione di script multilinea complessi, rendendo l’attacco più efficace.

Quando un utente esegue il comando fornito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, una volta avviato, effettua il sideload della DLL, che installa un payload nascosto chiamato client.py. Questo payload è un impianto Python che stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo accesso proxy in stile SOCKS5 alla rete interna della vittima.

Grazie a questa connessione, gli attaccanti possono accedere ad altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo un riavvio e condurre attività di ricognizione sui controller di dominio. Sebbene non siano stati osservati movimenti laterali effettivi, la combinazione di ricognizione e tunnel inverso potrebbe consentire di identificare e raggiungere ulteriori sistemi vulnerabili.

Per mitigare i rischi associati a questa minaccia, si raccomanda di considerare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare su eventuali movimenti laterali e sull’esposizione di credenziali, poiché, in una fase di attacco hands-on-keyboard, gli aggressori possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.

In conclusione, la campagna TerminalFix rappresenta un’evoluzione nelle tecniche di attacco informatico, evidenziando l’importanza di una vigilanza costante e di misure di sicurezza informatica adeguate per proteggere le reti aziendali.