La campagna TerminalFix implementa un tunnel inverso tramite intrusione multistadio

Microsoft Threat Intelligence ha osservato una campagna TerminalFix, una variante di ClickFix, che prende di mira organizzazioni in diversi settori. La campagna utilizza siti web compromessi per mostrare una sovrapposizione di verifica CAPTCHA Cloudflare falsa che induce gli utenti a copiare ed eseguire un comando PowerShell dannoso. A differenza delle precedenti varianti ClickFix che in genere distribuiscono un singolo infostealer, questa campagna implementa una sofisticata catena di attacco multistadio che combina sideloading DLL, estrazione del payload tramite steganografia, estesa ricognizione di Active Directory e un impianto di tunnel inverso personalizzato, dando all'attaccante un accesso proxy persistente a livello di rete attraverso l'host compromesso. La catena di attacco progredisce dall'ingegneria sociale alla consegna del payload, alla persistenza, alla ricognizione e infine al tunneling di rete. Microsoft fornisce rilevamenti e indicazioni per la caccia alle minacce.