Campanha TerminalFix implanta túnel reverso por meio de intrusão em vários estágios

A Microsoft Threat Intelligence observou uma campanha TerminalFix, uma variante do ClickFix, que visa organizações em vários setores. A campanha usa sites comprometidos para exibir uma sobreposição falsa de verificação CAPTCHA do Cloudflare que engana os usuários para copiar e executar um comando malicioso do PowerShell. Ao contrário das variantes anteriores do ClickFix que normalmente entregam um único infostealer, esta campanha implanta uma cadeia de ataque sofisticada em vários estágios que combina sideloading de DLL, extração de payload por esteganografia, reconhecimento extensivo do Active Directory e um implante de túnel reverso personalizado, dando ao atacante acesso persistente de proxy em nível de rede por meio do host comprometido. A cadeia de ataque progride da engenharia social para entrega de payload, persistência, reconhecimento e, finalmente, tunelamento de rede. A Microsoft fornece detecções e orientação de caça.