Microsoft décrit TerminalFix: faux CAPTCHA, chargement latéral DLL et tunnel chiffré à gitnow. dev

Microsoft a publié une analyse d'une nouvelle variante des campagnes "ClickFix" que les chercheurs ont baptisé TerminalFix. Selon la société, l'attaque profite des sites Web engagés pour montrer de faux défis comme Cloudflare CAPTCHA qui incitent les visiteurs non préparés à copier et exécuter une commande malveillante sur Windows Terminal ou PowerShell. L'objectif ultime est d'établir un tunnel inverse à partir de la machine infectée qui permet aux attaquants de naviguer sur le réseau interne de la victime et d'exécuter la reconnaissance latérale et le mouvement.

Les détails que Microsoft a confirmés décrivent une chaîne d'attaque en plusieurs phases. Premièrement, la victime est dirigée par une page légitime engagée sur un écran qui fausse un CAPTCHA et demande de coller et exécuter une longue commande sur le terminal Windows. Cette commande télécharger un fichier ZIP contenant un exécutable légitime appelé "LockScreenContentServer.exe" avec une DLL malveillante "dui70.dll." La technique utilisée est le classique Chargement latéral DLL: Windows charge la DLL malveillante du même répertoire que le binaire légitime, qui permet à l'attaquant d'exécuter le code sans signer à travers un composant du système légitime.

Selon le rapport, la DLL sideloaded supprime les charges utiles supplémentaires cachées par stéganographie dans les images PNG stockées dans des domaines externes (Microsoft mentionne "bestsocialmedianewspapper [.] com" et "offlineuppater [.] com"). Il établit ensuite la persistance à travers les clés de Registry Exécuter et les tâches programmées, effectue une large reconnaissance de Active Directory - y compris la liste des administrateurs de domaines, les recherches des utilisateurs et le matériel et les enquêtes sur les serveurs nommés - et enfin déploie un implant de commande et de contrôle développé dans Python ("client.py").

L'implant Python crée un tunnel inverse qui encapsule le trafic TCP arbitraire au sein d'un canal WebSocket chiffré pointant vers «gitnow [.] dev: 443», ce qui permet au serveur attaquant d'atteindre n'importe quel hôte accessible de la machine engagée. Microsoft a également observé une routine de PowerShell persistante qui surveille un fichier texte à la recherche de nouvelles commandes, les exécute avec Invoke-Expression et écrit les résultats dans un fichier de sortie, une technique qui facilite la télécommande silencieuse de l'ordinateur.

Faits confirmés par la publication Microsoft : la tactique de redirection vers le terminal au lieu du dialogue Run (Win + R); la livraison initiale par des pages dédiées à de faux CAPTCHAs; l'existence d'un ZIP avec LockScreenContentServer.exe et dui70.dll; l'utilisation de la stéganographie dans les PNG distants; la persistance par Run des touches et des tâches programmées; la reconnaissance d'Activ Directory et la présence d'un tunnel inverse mis en place dans Python en utilisant WebSocket crypté et connecté à gitnow [.] dev: 443.

Aspects encore incertains: Microsoft n'attribue pas publiquement l'attaque à un acteur nommé ou ne quantifie pas la portée réelle des engagements dans les environnements commerciaux. On ne sait pas non plus combien d'organisations ont été touchées ou si les adresses et les domaines observés sont toujours actifs au moment de lire cet article. De plus, bien que la technique soit efficace pour exécuter des scripts complexes, le taux de succès réel par rapport aux réseaux avec des contrôles modernes (AppLocker, WDAC, PowerShell et EDR) peut varier.

Le risque pratique de TerminalFix réside dans la combinaison de l'ingénierie sociale et de la tolérance du système à la charge binaire légitime. Forcer l'utilisateur à coller et exécuter une commande réduit le besoin de vulnérabilités logicielles; le reste de la chaîne - chargement latéral, stéganographie, tunnel inversé - donne aux attaquants la possibilité d'explorer des domaines, d'écheller des privilèges et de déplacer des charges utiles supplémentaires, y compris des outils pour exfilter des données ou déployer des ransomwares.

Si votre organisation gère les environnements Windows, les mesures recommandées sont concrètes et devraient être hiérarchisées dans cet ordre pratique. Tout d'abord, réduire la surface d'attaque en bloquant ou en limitant l'exécution de PowerShell et de terminaux utilisateurs standards en utilisant AppLocker, Windows Defender Application Control (WDAC) ou des politiques de groupe. Microsoft et la documentation officielle offrent des contrôles pour mettre en œuvre ces solutions; voir la documentation AppLocker pour les premières étapes dans les environnements d'affaires https: / / learn.microsoft.com / windows / security / amenat-protection / windows-defender-application-control / applocker / applocker-overview.

Deuxièmement, activez et centralisez le registre PowerShell, en particulier le Block Logging Script (Event ID 4104), et enregistrez l'activité de processus et la création de threads de sorte que les télémétiques EDR et SIEM puissent détecter les commandes pâte-et-run, encodées ou obfusquées, et l'activité de processus anormale qui appellent DLL à partir de lieux normaux. Microsoft résume la recherche et les guides sur son blog de sécurité; il est approprié de revoir ses publications pour les indicateurs d'engagement (IoC) et les tactiques observées https: / / www.microsoft.com / sécurité / blog /.

Troisièmement, établir des contrôles de sortie et de détection du trafic: bloquer ou appliquer l'inspection à des destinations inhabituelles (par exemple, entités mentionnées par Microsoft: gitnow [.] dev et domaines hébergeant des PNG) et surveiller les connexions TLS sortantes des postes de travail aux ports inhabituels. Vérifiez également les touches Exécuter du registre (HKCU / HKLM Software\\ Microsoft\ Windows\\ Version actuelle\\ Exécuter), les tâches programmées et les fichiers persistants suspects (les scripts PowerShell qui implémentent des boucles de fichiers), et recueillir la mémoire des machines suspectes avant de les désactiver si vous soupçonnez un mouvement latéral.

Quatrièmement, les procédures de réponse : isoler immédiatement tout hôte avec des preuves d'implantation, bloquer les lettres de créance engagées et forcer les changements dans les mots de passe et les sessions privilégiées; effectuer une analyse médico-légale en AD (recherche de nouveaux comptes, délégations inhabituelles, changements de GPO) et envisager la reconstruction de systèmes fortement compromis. Si l'incident suggère un accès au réseau, traitez l'infrastructure comme étant engagée au contraire.

Enfin, le travail et l'atténuation de la formation: éduquer les utilisateurs à ne pas frapper les commandes à partir de pages Web ou de scripts en cours d'exécution sans vérification du personnel informatique, et la valeur désactiver la boîte de dialogue Exécuter pour les profils qui n'en ont pas besoin ou auditionner son utilisation. La combinaison de contrôles techniques, d'amélioration de la détection et de la formation réduit considérablement la probabilité qu'une tromperie de type CAPTCHA entraîne une intrusion profonde.

Terminal Fix montre que les attaquants continuent d'exploiter l'interaction humaine avec le système d'exploitation plutôt que de ne compter que sur des bogues. Bien que de nombreuses défenses contre cette campagne soient connues et applicables aux technologies existantes, leur efficacité dépend d'une mise en œuvre cohérente et d'un suivi continu. Examiner les configurations de contrôle de l'application, renforcer l'enregistrement et la télémétrie, et préparer des cahiers d'intervention pour les incidents impliquant des tunnels inversés et la reconnaissance Active Directory.