TerminalFix-campagne implementeert reverse tunnel via meerfasige intrusie

Microsoft Threat Intelligence heeft een TerminalFix-campagne waargenomen, een variant van ClickFix, gericht op organisaties in meerdere sectoren. De campagne maakt gebruik van gecompromitteerde websites om een nep-Cloudflare-CAPTCHA-verificatie-overlay te tonen die gebruikers misleidt om een kwaadaardig PowerShell-commando te kopiëren en uit te voeren. In tegenstelling tot eerdere ClickFix-varianten die doorgaans een enkele infostealer leveren, implementeert deze campagne een geavanceerde meerfasige aanvalsketen die DLL-sideloading, steganografische payload-extractie, uitgebreide Active Directory-verkenning en een aangepaste reverse-tunnel-implant combineert, waardoor de aanvaller persistente proxytoegang op netwerkniveau krijgt via de gecompromitteerde host. De aanvalsketen vordert van social engineering via payload-levering, persistentie, verkenning en uiteindelijk netwerktunneling. Microsoft biedt detecties en jachtrichtlijnen.