Microsoft advirtió sobre TerminalFix, una variante de ClickFix que engaña a los usuarios para ejecutar comandos maliciosos en PowerShell mediante falsas verificaciones de CAPTCHA. El ataque utiliza técnicas sofisticadas como el cargando lateral de DLL y túneles inversos para obtener acceso persistente a redes internas corporativas. Esto permite a los atacantes realizar reconocimiento de Active Directory, escalar privilegios y desplegar ransomware.

Microsoft ha revelado detalles de una nueva variante de ClickFix, llamada TerminalFix, que busca engañarte para que ejecutes un comando malicioso en la Terminal de Windows o en PowerShell.

"Mientras que las campañas tradicionales de ClickFix dirigen a las víctimas al cuadro de diálogo Ejecutar de Windows, las campañas de TerminalFix aplican la misma técnica pero te dirigen a la Terminal de Windows o a PowerShell, aumentando la probabilidad de que los scripts complejos y multilínea se ejecuten con éxito", afirmaron los investigadores de seguridad de Microsoft Sagar Patil, Suriyaraj Natarajan y Parasharan Raghavan en un análisis publicado esta semana enlace.

La campaña, dirigida a organizaciones de múltiples sectores, utiliza sitios web comprometidos como punto de partida para mostrar verificaciones falsas de CAPTCHA de Cloudflare que incitan a los visitantes desprevenidos a copiar y ejecutar un comando malicioso de PowerShell.

La cadena de ataque, según el fabricante de Windows, es un proceso sofisticado de varias etapas que aprovecha la carga lateral de DLL (DLL sideloading), la extracción de carga útil esteganográfica, un amplio reconocimiento de Active Directory y un implante de túnel inverso personalizado que otorga al atacante un acceso proxy persistente a nivel de red a través de la máquina infectada.

Específicamente, el comando de PowerShell está diseñado para descargar un archivo ZIP que contiene un binario legítimo ("LockScreenContentServer.exe") y una DLL maliciosa ("dui70.dll") para iniciar el ataque de carga lateral de DLL.

La DLL cargada lateralmente se encarga de recuperar las siguientes etapas de la carga útil ocultas en imágenes PNG de dominios externos ("bestsocialmedianewspapper[.]com" o "offlineupdater[.]com"), establece la persistencia mediante claves de ejecución del Registro y tareas programadas, realiza el reconocimiento del dominio y luego despliega un implante de comando y control (C2) de túnel inverso basado en Python.

La puerta trasera ("client.py") está equipada para tunelizar tráfico TCP arbitrario hacia la infraestructura controlada por el atacante ("gitnow[.]dev:443") a través de un canal WebSocket cifrado, además de permitir que el servidor C2 alcance cualquier host visible desde la red de la víctima.

La fase de reconocimiento incluye los siguientes pasos:

* Recopilar metadatos del sistema
* Realizar el descubrimiento de confianza del dominio, enumeración de administradores del dominio y búsquedas de usuarios y computadoras de Active Directory
* Hacer ping a servidores nombrados para mapear la topología de la red interna

El ataque también entrega un bucle de vigilancia de archivos de PowerShell persistente que monitorea un archivo de texto en busca de nuevos comandos, los ejecuta a través de Invoke-Expression y escribe los resultados en un archivo de salida.

"Este tipo de intrusión es particularmente peligrosa porque proporciona a los atacantes acceso directo a la red interna de una organización a través del túnel inverso", dijo Microsoft. "La capacidad de reconocimiento y túnel inverso observada podría permitir que un atacante identifique y alcance sistemas adicionales desde un host comprometido".

El gigante tecnológico ha advertido que dicho acceso puede aprovecharse aún más para escalar privilegios, desactivar controles de seguridad, exfiltrar datos sensibles y desplegar ransomware, convirtiendo a TerminalFix en una amenaza grave para los entornos empresariales.

Para mitigar la amenaza, se te recomienda restringir la ejecución de PowerShell y del cuadro de diálogo Ejecutar para usuarios estándar a través de AppLocker, Control de Aplicaciones para Windows o Directivas de Grupo; considera bloquear o auditar el cuadro de diálogo Ejecutar de Windows ("Win+R") si no es necesario; monitorea los indicadores de carga lateral de DLL; entrena a tus empleados para que estén atentos a los ataques de ClickFix; y activa el registro de bloques de scripts de PowerShell para detectar y analizar comandos ofuscados o codificados.

Fuente:
THN