Victimele sunt direcționate să lipească comenzi rău intenționate în PowerShell sau Command Prompt
La pachet: Microsoft a identificat o nouă campanie de programe malware care utilizează solicitări CAPTCHA false pentru a păcăli utilizatorii Windows să execute comenzi rău intenționate. Campania, numită TerminalFix, este o variantă a atacurilor ClickFix care au devenit din ce în ce mai frecvente în rândul utilizatorilor de afaceri. Campania evidențiază o problemă de securitate mai largă: solicitările familiare ale browserului pot ocoli acum garanțiile tehnice, convingând utilizatorii să execute ei înșiși codul atacatorului.
Paginile uzurpă identitatea Cloudflare și a altor servicii de încredere. În loc să prezinte o provocare CAPTCHA normală, ei instruiesc utilizatorii să deschidă PowerShell sau Command Prompt și să lipească o comandă.
Aceasta este principala diferență dintre TerminalFix și activitatea ClickFix anterioară. Atacurile ClickFix direcționează adesea victimele către fereastra de dialog Windows Run, unde o comandă este folosită pentru a instala un furt de informații. TerminalFix, prin contrast, folosește PowerShell sau Command Prompt, făcându-le mai ușor pentru atacatori să execute scripturi mai lungi, cu mai multe linii.
Microsoft a spus că schimbarea crește „probabilitatea ca scripturile complexe, cu mai multe linii să se execute cu succes”.
Campania este concepută pentru a face mai mult decât infectarea unui singur computer. După ce un utilizator rulează comanda, TerminalFix poate începe o intruziune în mai multe etape care oferă atacatorului acces proxy persistent prin mașina compromisă. Acest acces poate oferi o rută către alte părți ale rețelei unei companii.
Un atacator cu acces la o rețea nesecurizată ar putea folosi sistemul infectat inițial pentru a fura date, a răspândi malware pe alte dispozitive sau pentru a instala ransomware. Amploarea daunelor ar depinde de controalele de rețea ale victimei, de securitatea punctului final și de permisiunile utilizatorului.
TerminalFix se bazează pe ingineria socială, mai degrabă decât pe o exploatare software ascunsă. Atacatorul are nevoie de utilizator să urmeze instrucțiunile de pe pagina de verificare falsă, făcând conștientizarea angajaților o linie importantă de apărare.
Un CAPTCHA care cere cuiva să deschidă PowerShell, Command Prompt sau dialogul Windows Run ar trebui tratat ca suspect. Serviciile CAPTCHA legitime nu necesită ca utilizatorii să execute comenzi de sistem pentru a dovedi că sunt oameni.
Microsoft Threat Intelligence a publicat ghiduri de atenuare pentru organizații. Compania recomandă restricționarea accesului la PowerShell și la dialogul Windows Run atunci când este posibil, monitorizarea sistemelor pentru semne de încărcare laterală a DLL, blocarea pluginurilor Flash și activarea protecției furnizate în cloud în Microsoft Defender Antivirus.
Este posibil ca aceste controale să nu fie adecvate pentru fiecare angajat sau dispozitiv. Administratorii IT, dezvoltatorii și alți utilizatori tehnici pot avea nevoie de acces la instrumentele de scripting ca parte a sarcinilor lor. Companiile pot în continuare să reducă riscul limitând aceste instrumente la utilizatorii care au nevoie de ele și monitorizând activitatea de comandă neobișnuită.
Echipele de securitate ar trebui, de asemenea, să examineze ce software mai vechi rămâne instalat în mediile lor. Îndrumările Microsoft pentru blocarea pluginurilor Flash, de exemplu, arată cum componentele învechite pot crea căi suplimentare pentru atacatori, chiar și atunci când nu mai sunt necesare pentru munca zilnică.
Campania este în primul rând o preocupare pentru rețelele de întreprindere, unde un dispozitiv compromis poate oferi o cale către sisteme și date mai valoroase. Dar sfaturile de bază se aplică și utilizatorilor individuali. Nu rulați o comandă PowerShell sau Command Prompt pur și simplu pentru că vă cere un site web, mai ales când solicitarea este prezentată ca un CAPTCHA sau verificare de securitate.
