TerminalFix lợi dụng CAPTCHA giả để cài backdoor qua reverse tunnel
"Microsoft detailed a new ClickFix-style social engineering campaign called TerminalFix that uses fake Cloudflare CAPTCHA pages to trick users into running malicious PowerShell commands in Windows Terminal or PowerShell. The attack chain includes DLL sideloading, payload extraction from PNG images, persistence via registry and scheduled tasks, Active Directory reconnaissance, and a Python-based reverse-tunnel backdoor that provides persistent network-level access; no CVE is cited, and mitigation includes restricting script execution, monitoring sideloading, and enabling PowerShell logging."
Rủi ro xâm nhập ban đầu cao, sau đó có thể dẫn tới truy cập mạng nội bộ kéo dài và trinh sát Active Directory. Cơ chế reverse tunnel làm tăng khả năng di chuyển ngang và né tránh một số kiểm soát phòng thủ.
Có thể ảnh hưởng đến nhiều môi trường doanh nghiệp nếu người dùng thực thi lệnh độc hại. Hậu quả vận hành gồm rò rỉ dữ liệu, leo thang đặc quyền và nguy cơ triển khai ransomware.
Microsoft đã công bố một chiến dịch ClickFix mới có tên TerminalFix, trong đó kẻ tấn công dùng trang CAPTCHA Cloudflare giả để dụ người dùng tự chạy lệnh PowerShell độc hại trong Windows Terminal hoặc PowerShell. Cách tiếp cận này làm tăng khả năng các đoạn script nhiều dòng được thực thi thành công so với việc chỉ dùng hộp thoại Run.
Chuỗi tấn công bắt đầu từ các website bị xâm nhập, sau đó tải về một ZIP chứa tệp hợp lệ LockScreenContentServer.exe và DLL độc hại dui70.dll để thực hiện DLL sideloading. DLL này tiếp tục lấy payload ẩn trong ảnh PNG, thiết lập tính bền vững bằng Registry Run keys và scheduled tasks, đồng thời thực hiện trinh sát Active Directory trước khi triển khai backdoor reverse tunnel viết bằng Python.
Backdoor client.py có thể chuyển tiếp lưu lượng TCP qua kênh WebSocket mã hóa tới hạ tầng điều khiển của kẻ tấn công, cho phép truy cập mạng nội bộ từ máy bị nhiễm. Microsoft khuyến nghị hạn chế PowerShell, kiểm soát hoặc giám sát Win+R, theo dõi dấu hiệu DLL sideloading, bật PowerShell script block logging, và đào tạo người dùng nhận diện các mồi nhử ClickFix.