La campaña TerminalFix implementa un túnel inverso mediante intrusión en múltiples etapas

Microsoft Threat Intelligence ha observado una campaña TerminalFix, una variante de ClickFix, dirigida a organizaciones de múltiples sectores. La campaña utiliza sitios web comprometidos para mostrar una superposición falsa de verificación CAPTCHA de Cloudflare que engaña a los usuarios para que copien y ejecuten un comando de PowerShell malicioso. A diferencia de las variantes anteriores de ClickFix que normalmente entregan un solo infostealer, esta campaña implementa una sofisticada cadena de ataque de múltiples etapas que combina carga lateral de DLL, extracción de payload mediante esteganografía, extenso reconocimiento de Active Directory y un implante de túnel inverso personalizado, dando al atacante acceso proxy persistente a nivel de red a través del host comprometido. La cadena de ataque progresa desde la ingeniería social hasta la entrega del payload, persistencia, reconocimiento y finalmente tunelización de red. Microsoft proporciona detecciones y orientación de búsqueda.