Microsoft avverte su TerminalFix: gli attacchi aprono tunnel verso i PC

ClickFix continua a cambiare pelle. Dopo le campagne con falsi CAPTCHA, finte schermate di errore e persino l’uso del comando nslookup per recuperare codice malevolo attraverso il DNS, Microsoft ha individuato un’ulteriore evoluzione: TerminalFix. È un’ulteriore evoluzione della tecnica di ingegneria sociale che cerca di convincere l’utente a eseguire personalmente un comando.

Il principio di fondo rimane quello che abbiamo già analizzato parlando di ClickFix: evitare lo sfruttamento di una vulnerabilità software e trasformare invece la vittima nel passaggio iniziale della catena di esecuzione. Una pagina web mostra un messaggio apparentemente credibile, propone una procedura “tecnica” per gestirlo e porta l’utente ad aprire un componente legittimo di Windows, incollando istruzioni preparate dagli aggressori. Cambiano però gli strumenti e, soprattutto, cambia ciò che accade dopo.

TerminalFix rappresenta un salto rispetto a molte campagne ClickFix precedenti. L’inganno iniziale resta quasi banale – “verifica di non essere un robot“, apri il terminale, incolla il comando – ma il risultato finale può essere un punto d’appoggio stabile dentro la rete aziendale. Non più soltanto furto di password o installazione di un infostealer: l’host infetto può servire per esplorare la rete, raggiungere altri server e preparare movimenti laterali.

TerminalFix parte da un falso CAPTCHA Cloudflare

La prima parte dell’attacco individuato da Microsoft sfrutta siti web compromessi. Dopo la comparsa della pagina originale, un overlay imita l’interfaccia di Cloudflare Turnstile con logo, casella “Verify you are human” e animazione di caricamento.

Quando l’utente interagisce con il falso controllo antispam, il sito inserisce negli Appunti di Windows un comando PowerShell preparato dagli aggressori.

Le istruzioni chiedono quindi di aprire Windows Terminal o PowerShell, incollare il contenuto e premere Invio: l’utente più sprovveduto si trasforma così nell’esecutore materiale del primo stadio dell’attacco.

La variante TerminalFix introduce qui una differenza interessante rispetto al ClickFix tradizionale. La finestra Esegui accetta comodamente comandi brevi, mentre il terminale consente script su più righe e operazioni più complesse. Microsoft sottolinea proprio questa caratteristica: indirizzare la vittima verso Terminal o PowerShell aumenta la probabilità che sequenze PowerShell articolate funzionino correttamente.

Per rendere il trucco più credibile, il comando ripulisce lo schermo e stampa messaggi colorati che simulano una procedura Cloudflare. Alla fine compare persino una conferma del tipo “I am not a robot” accompagnata da un identificativo.

Dietro quella facciata, però, PowerShell ha già scaricato un archivio ZIP, lo ha estratto sotto C:\ProgramData e ha lanciato uno script malevolo in background.

Un eseguibile Microsoft firmato aiuta a caricare la DLL malevola

L’archivio iniziale scaricato da server remoti contiene due componenti particolarmente interessanti: LockScreenContentServer.exe, un eseguibile Microsoft legittimo e firmato, e un file chiamato dui70.dll controllato dagli aggressori.

LockScreenContentServer.exe importa normalmente funzioni dalla libreria dui70.dll (abbiamo già spiegato cosa succede quando si avvia un file eseguibile in Windows), componente collegato alla DirectUI di Windows. Gli attaccanti sfruttano questa dipendenza collocando la propria DLL nella stessa directory dell’eseguibile: quando Windows va alla ricerca delle librerie da caricare, trova la copia presente nella cartella locale e la apre al posto della DLL originale di sistema.

La tecnica prende il nome di DLL sideloading: non richiede di modificare il file Microsoft né di falsificarne la firma digitale; si sfrutta invece il comportamento di caricamento delle dipendenze. Il risultato è insidioso perché il codice ostile finisce all’interno di un processo avviato da un binario attendibile.

Nel campione analizzato da Microsoft, la DLL contraffatta riporta informazioni studiate per sembrare plausibili, compreso il riferimento a Windows DirectUI Engine. Una volta caricata, dui70.dll recupera un blocco fortemente offuscato, lo decodifica direttamente in memoria e gli passa il controllo.

I file eseguibili arrivano nascosti nei pixel di tre immagini PNG

La fase successiva usa la tecnica della steganografia: PowerShell scarica tre immagini PNG dai server controllati dagli attaccanti, ma i pixel non contengono soltanto dati grafici. I canali RGBA incorporano infatti porzioni binarie dei payload.

La funzione di estrazione osservata da Microsoft legge i valori dei pixel e ricostruisce progressivamente i file. I primi 8 byte rappresentano la lunghezza del payload mediante un intero a 64 bit; i byte successivi contengono i dati veri e propri. La prima immagine trasporta un eseguibile, mentre altre due ospitano parti separate di una DLL che lo script concatena successivamente.

Dopo aver ricostruito i componenti, lo script cancella le immagini sorgenti per ridurre gli elementi disponibili ai fini di un’eventuale successiva indagine.

TerminalFix avvia una ricognizione molto aggressiva della rete

Dopo aver consolidato l’accesso, TerminalFix cerca di capire dove sia finito. La sequenza osservata raccoglie informazioni sul sistema, verifica l’appartenenza al dominio e interroga Active Directory. Microsoft ha individuato comandi per elencare relazioni di trust, Domain Admin, computer e utenti.

Particolarmente significativo è il recupero delle descrizioni associate agli account AD. In molte aziende quel campo contiene informazioni operative come reparto, ruolo, sede oppure annotazioni amministrative; dati del genere aiutano un aggressore a identificare rapidamente account interessanti.

La ricognizione prova anche a individuare server con nomi riconducibili a ruoli comuni: domain controller, database, sistemi di backup, gateway e server di posta. Seguono query ADSI (Active Directory Service Interfaces) e ping mirati verso sistemi Windows Server. Non si tratta quindi di una semplice raccolta di caratteristiche del PC infetto: l’obiettivo è quello di preparare una mappa della rete accessibile da quella macchina.

Il passaggio decisivo: Python crea il reverse tunnel

La parte più interessante dell’intera operazione arriva alla fine. Gli attaccanti scaricano il pacchetto embeddable ufficiale di Python e lo accompagnano con uno script personalizzato chiamato client.py.

L’attaccante porta con sé l’interprete necessario e usa codice Python per instaurare un tunnel parte tramite pythonw.exe, variante che non apre una finestra console visibile.

Da quel momento il PC può funzionare come proxy TCP per l’operatore remoto. Il protocollo implementa una logica simile a SOCKS5 per interpretare indirizzi IPv4, IPv6 e nomi host; il server di comando può quindi chiedere al client compromesso di connettersi a un determinato indirizzo e a una specifica porta visibili dalla rete interna.

La gravità dell’incidente cambia: un firewall perimetrale può impedire a Internet di raggiungere direttamente 10.0.0.20:445 o un database interno sulla porta 1433, ma la macchina infetta si trova già dalla parte “giusta” (dipende, ovviamente, dai punti di vista…) del firewall.

Il tunnel nasce inoltre con una connessione outbound sulla comune porta TCP 443: se l’organizzazione consente liberamente traffico HTTPS in uscita, l’aggressore può sfruttare quell’unico canale per far transitare più connessioni verso sistemi interni.

Perché un reverse tunnel è più grave di un normale malware sul PC

Un infostealer punta soprattutto ai dati presenti sull’endpoint: password, cookie, wallet, token e informazioni memorizzate dalle applicazioni. Un reverse tunnel offre invece qualcosa di differente: raggiungibilità di rete.

Se il notebook compromesso può contattare un domain controller, un NAS, un server SQL o una console di backup, l’attaccante può tentare di raggiungere gli stessi sistemi attraverso il tunnel. Il computer diventa quindi un intermediario che inoltra il traffico fra Internet e rete privata.

Microsoft raccomanda alle organizzazioni che dovessero individuare gli indicatori della campagna a verificare possibili movimenti laterali e l’esposizione delle credenziali. Se il PC appartiene a un dominio, la rotazione deve riguardare gli account che potrebbero essere transitati sulla macchina compromessa; per eventuali credenziali amministrative di dominio il livello di attenzione sale ulteriormente.

TerminalFix rende evidente l’evoluzione della tecnica ClickFix: non più soltanto un trucco per convincere qualcuno a installare un malware, ma un metodo di accesso iniziale che può preparare un’intrusione di rete molto più ampia. Il CAPTCHA fasullo dura pochi secondi; il tunnel che nasce dietro quella schermata può invece consegnare all’attaccante una posizione interna che, in una rete poco segmentata, vale molto più del singolo PC compromesso.