L’attaque cache les logiciels malveillants dans les fichiers PNG et supprime un tunnel inversé personnalisé sur les machines des victimes

Un mécréant inconnu utilise « TerminalFix » pour inciter des utilisateurs sans méfiance à exécuter des commandes PowerShell qui infectent leurs ordinateurs avec un tunnel inversé permettant aux attaquants d’accéder à leurs réseaux. Certains logiciels malveillants sont même cachés dans les graphiques PNG téléchargés par le PC.

TerminalFix est la dernière variante de la méthode d’accès initial ClickFix très populaire auprès des attaquants. Ce type de technique d’ingénierie sociale incite les utilisateurs à exécuter des commandes malveillantes en les promouvant avec un faux correctif ou une vérification CAPTCHA.

Alors que les attaques ClickFix traditionnelles dirigent les victimes vers la boîte de dialogue Exécuter de Windows, TerminalFix dirige les utilisateurs vers le terminal Windows ou PowerShell, ce qui augmente la probabilité qu’ils exécutent sans le savoir des scripts multilignes sur leur propre ordinateur, explique Redmond.

De plus, au lieu de proposer un seul voleur d’informations, cette campagne lance une chaîne d’attaque en plusieurs étapes qui combine le chargement latéral de DLL, l’extraction de charge utile stéganographique et la reconnaissance Active Directory. Il déploie finalement un tunnel inverse personnalisé sur la machine infectée qui donne à l’attaquant un accès proxy persistant au niveau du réseau via le périphérique compromis.

Microsoft a refusé de répondre Le registre», notamment combien d’organisations ont été ciblées et victimisées dans cette campagne TerminalFix, et quel attaquant ou équipe criminelle est responsable de ces attaques.

La chaîne d’attaque commence lorsque la victime interagit avec une fausse superposition qui usurpe la case à cocher Cloudflare CAPTCHA « vérifiez que vous êtes humain » et inclut un logo Cloudflare, provoquant la copie d’une fausse commande de vérification dans le presse-papiers avant que la victime ne la colle dans le terminal Windows ou PowerShell.

Cette commande exécute un script PowerShell caché qui imprime un faux message « Démarrage de la vérification Cloudflare… » et télécharge une archive ZIP à partir d’un serveur contrôlé par un attaquant. Il extrait l’archive sous C:ProgramData et lance un fichier batch (1.bat) qui exécute silencieusement LockScreenContentServer.exe.

LockScreenContentServer.exe est un exécutable Windows légitime et signé – et il agit comme hôte de chargement latéral de DLL pour un deuxième fichier : dui70.dll. Celui-ci prétend être un « moteur Windows DirectUI », mais il s’agit en réalité de la charge utile malveillante, qui exécute un script PowerShell de deuxième étape une fois chargé.

Le deuxième script PowerShell télécharge des charges utiles supplémentaires cachées dans les images PNG – c’est ce qu’on appelle la stéganographie, et cela rend l’inspection des types de fichiers et de contenu plus difficile, et donc plus facile à masquer les charges utiles malveillantes. Dans le but de masquer davantage la charge utile et d’éviter d’être détecté, l’attaquant a divisé la charge utile en plusieurs PNG.

Le script PowerShell télécharge les trois images, extrait un exécutable de la première image et deux moitiés de la DLL des deuxième et troisième images, puis réassemble les composants sur le disque.

« Après l’extraction, les images sources sont supprimées pour réduire les artefacts médico-légaux », ont écrit les chercheurs Microsoft Sagar Patil, Suriyaraj Natarajan et Parasharan Raghavan.

Le logiciel malveillant établit une persistance redondante via les clés de registre HKCU…Run et les tâches planifiées qui réexécutent LockScreenContentServer.exe toutes les 60 minutes pour garantir qu’il survit aux redémarrages.

Il effectue ensuite une reconnaissance sur la machine compromise, récupérant les informations système dans plusieurs configurations linguistiques, notamment l’anglais, l’espagnol et l’allemand. Il effectue également la découverte de l’approbation de domaine, l’énumération des administrateurs de domaine et les recherches d’utilisateurs et d’ordinateurs Active Directory, tout en envoyant une requête ping aux serveurs nommés et ciblés.

« Les noms observés correspondent à des rôles d’infrastructure courants, notamment les contrôleurs de domaine, les bases de données, les sauvegardes, les passerelles et les systèmes de messagerie », selon les chasseurs de menaces. « Cette enquête pourrait aider un attaquant à identifier les systèmes cibles accessibles pour une activité de suivi. »

Ensuite, le malware supprime une boucle de surveillance de fichiers PowerShell persistante qui surveille un fichier texte à la recherche de nouvelles commandes, les exécute via Invoke-Expression et écrit les résultats dans un fichier de sortie. Cela permet à l’attaquant d’exécuter des commandes PowerShell supplémentaires en les écrivant dans le fichier texte.

Et enfin, l’attaquant déploie un implant de tunnel inversé personnalisé basé sur Python. Le tunnel se lance sans fenêtre visible via pythonw.exe et configure un tunnel WebSocket inversé vers gitnow(.)dev:443. Cet implant, combiné à des données de reconnaissance antérieures, donne à l’attaquant un accès proxy TCP de type SOCKS via le réseau de la victime.

Microsoft recommande aux organisations de prendre plusieurs mesures pour éviter d’être victime de cette campagne. Il s’agit notamment de restreindre l’exécution des boîtes de dialogue PowerShell et Exécuter, ainsi que de bloquer ou d’auditer la boîte de dialogue Exécuter de Windows (Win+R) si elle n’est pas nécessaire au travail quotidien.

Formez également les employés à rechercher les tactiques ClickFix, comme les fausses pages de vérification CAPTCHA qui leur demandent de coller des commandes dans le terminal ou dans la boîte de dialogue Exécuter. ®