Microsoft beschreibt TerminalFix: gefälschte CAPTCHA, DLL Sideloading und Tunnel verschlüsselt zu Gitnow. dev

Microsoft hat eine Analyse einer neuen Variante von "ClickFix"-Kampagnen veröffentlicht, die Forscher als getauft haben TerminalFix. Nach Angaben des Unternehmens nutzt der Angriff die Vorteile von engagierten Webseiten, um falsche Herausforderungen wie Cloudflare CAPTCHA zu zeigen, die unvorbereitete Besucher dazu veranlassen, einen schädlichen Befehl auf Windows Terminal oder PowerShell zu kopieren und auszuführen. Ziel ist es, einen inversen Tunnel von der infizierten Maschine zu etablieren, der es den Angreifern ermöglicht, das interne Netzwerk des Opfers zu navigieren und seitliche Erkennung und Bewegung durchzuführen.

Die Details, die Microsoft bestätigt hat, beschreiben eine Kette von Angriffen in mehreren Phasen. Zunächst wird das Opfer von einer legitimen Seite an einen Bildschirm gerichtet, der eine CAPTCHA gefälscht und Anträge auf Einfügen und Ausführen eines langen Befehls auf dem Windows-Terminal. Dieser Befehl lädt eine ZIP-Datei mit einem legitimen ausführbaren namens "LockScreenContentServer.exe" zusammen mit einer bösartigen DLL "dui70.dll". Die verwendete Technik ist der Klassiker DLL Sideloading: Windows lädt die schädliche DLL aus dem gleichen Verzeichnis wie die legitime binäre, die es dem Angreifer erlaubt, Code auszuführen, ohne sich durch eine legitime Systemkomponente zu unterzeichnen.

Die DLL Sideloaded, nach dem Bericht, entfernt zusätzliche Payloads versteckt durch Steganographie innerhalb von PNG-Bildern gespeichert in externen Domains (Microsoft erwähnt "bestsocialmedianewspapper [.] com" und "offlineuppater [.] com"). Es stellt dann Beharrlichkeit durch Registry Run Schlüssel und programmierte Aufgaben fest, führt eine breite Anerkennung von Active Directory - einschließlich der Auflistung von Domain-Administratoren, Benutzersuche und Ausrüstung und Umfragen zu benannten Servern - und setzt schließlich ein in Python ("client.py") entwickeltes Kommando- und Kontrollimplantat ein.

Das Python-Implantat erzeugt einen inversen Tunnel, der den beliebigen TCP-Verkehr innerhalb eines verschlüsselten WebSocket-Kanals "gitnow [.] dev: 443" verkapselt, der es dem angreifenden Server ermöglicht, jeden zugänglichen Host von der verlobten Maschine zu erreichen. Microsoft beobachtete auch eine persistente PowerShell-Routine, die eine Textdatei auf der Suche nach neuen Befehlen überwacht, sie mit Invoke-Expression durchführt und die Ergebnisse in einer Ausgabedatei schreibt, eine Technik, die die leise Fernsteuerung des Computers erleichtert.

Konfirmierte Fakten durch Microsoft-Veröffentlichung: die Umleitung Taktik zum Terminal anstelle des Run (Win + R) Dialog; anfängliche Lieferung von Seiten, die zu falschen CAPTCHAs verpflichtet; die Existenz eines ZIP mit LockScreenContentServer.exe und dui70.dll; die Verwendung von Steganographie in entfernten PNGs; Beharrlichkeit durch Run-Tasten und programmierte Aufgaben; Erkennung von Active Directory und die Anwesenheit eines inverse Tunnel implementiert in Python.

Unsichere Aspekte: Microsoft ordnet den Angriff nicht öffentlich an einen benannten Schauspieler an oder quantifiziert den tatsächlichen Umfang der Verpflichtungen in Geschäftsumgebungen. Es ist auch nicht klar, wie viele Organisationen betroffen waren oder ob die beobachteten Adressen und Domänen zum Zeitpunkt des Lesens dieses Artikels noch aktiv sind. Darüber hinaus, obwohl die Technik für die Durchführung komplexer Skripte wirksam ist, kann die reale Erfolgsquote gegen Netzwerke mit modernen Steuerungen (AppLocker, WDAC, PowerShell und EDR Ausführungsrichtlinien) variieren.

Das praktische Risiko von TerminalFix liegt in die Kombination von Social Engineering und Systemtoleranz bei legitimer binärer Belastung. Durch das Einfügen und Ausführen eines Befehls wird die Notwendigkeit von Software-Schwachstellen reduziert; der Rest der Kette - Sideloading, Steganography, reverse tunnel - gibt Angreifern die Möglichkeit, Domains zu erkunden, Privilegien zu skalieren und zusätzliche Nutzlasten zu bewegen, einschließlich Tools, um Daten auszufiltern oder Ransomware bereitzustellen.

Wenn Ihre Organisation Windows-Umgebungen verwaltet, sind die empfohlenen Maßnahmen konkret und sollten in dieser praktischen Reihenfolge priorisiert werden. Zuerst reduzieren Sie die Angriffsfläche, indem Sie die Ausführung von PowerShell und Standard-Benutzerterminals mithilfe von AppLocker, Windows Defender Application Control (WDAC) oder Gruppenrichtlinien blockieren oder einschränken. Microsoft und offizielle Dokumentation bieten Kontrollen, um diese Lösungen umzusetzen; siehe AppLocker-Dokumentation für erste Schritte in Business-Umgebungen https: / / learn.microsoft.com / windows / security / amenat-protection / windows-defender-application-control / applocker / applocker-overview.

Zweitens, aktivieren und zentralisieren Sie die PowerShell-Registrierung, insbesondere das Block Logging Script (Event ID 4104), und erfassen Sie die Prozessaktivität und Fadenerstellung, so dass die EDR- und SIEM-Telemetik Pasten-und-run-, kodierte oder obfuscated Befehle und abnormale Prozessaktivität, die DLL von normalen Standorten nennen können. Microsoft fasst Forschung und Anleitungen auf seinem Security-Blog zusammen; es ist angebracht, seine Publikationen für Verpflichtungsindikatoren (IoC) und beobachtete Taktiken zu überprüfen https: / / www.microsoft.com / sicherheit / blog /.

Drittens, stellen Sie Ausstiegs- und Verkehrsmeldekontrollen fest: blockieren oder bewerben Sie die Inspektion auf ungewöhnliche Ziele (z.B. von Microsoft erwähnte Einrichtungen: gitnow [.] dev und Domains hosting PNGs) und überwachen ausgehende TLS-Verbindungen von Workstations zu ungewöhnlichen Häfen. Überprüfen Sie auch die Run-Tasten der Registry (HKCU / HKLM Software\ Microsoft\ Windows\ Aktuelle Version\ Run), geplante Aufgaben und verdächtige persistente Dateien (PowerShell-Skripte, die Dateischleifen implementieren), und sammeln Sie Speicher von verdächtigen Maschinen, bevor Sie sie ausschalten, wenn Sie Verdacht auf laterale Bewegung.

Viertens, Antwortverfahren: sofort jeden Host mit Implantationsbeweis, Block engagierte Anmeldeinformationen und Kraftänderungen in Passwörtern und privilegierten Sitzungen; Durchführung forensischer Analyse in AD (Suche nach neuen Konten, ungewöhnliche Delegationen, Änderungen in GPOs) und betrachten die Rekonstruktion von stark gefährdeten Systemen. Wenn der Vorfall den Zugang auf der Netzebene vorschlägt, behandeln Sie die Infrastruktur, wie im Gegenteil.

Schließlich, Arbeit und Training Minderung: Erziehen Sie Benutzer über nicht auf Befehle von Web-Seiten oder laufende Skripte ohne IT-Personal-Verifikation, und Wert deaktivieren Sie den Run-Dialog für Profile, die es nicht benötigen oder seine Verwendung zu auditieren. Die Kombination von technischen Kontrollen, verbesserter Erkennung und Schulung reduziert die Wahrscheinlichkeit, dass ein CAPTCHA-Typ Täuschung zu einem tiefen Eindringen führen wird.

Terminal Fix zeigt, dass Angreifer die menschliche Interaktion mit dem Betriebssystem weiter ausnutzen, anstatt sich nur auf Fehler zu verlassen. Obwohl viele der Verteidigungen gegen diese Kampagne bekannt und auf bestehende Technologien anwendbar sind, hängt ihre Wirksamkeit von der konsequenten Umsetzung und kontinuierlichen Überwachung ab. Überprüfen Sie die Anwendungssteuerungskonfigurationen, stärken Sie die Registrierung und Telemetrie und bereiten Sie Antwort-Spielbücher für Vorfälle mit umgekehrten Tunneln und Active Directory-Erkennung vor.