Кампания TerminalFix развертывает обратный туннель через многоступенчатую атаку

Microsoft Threat Intelligence наблюдала кампанию TerminalFix, вариант ClickFix, нацеленную на организации в различных отраслях. Кампания использует скомпрометированные веб-сайты для отображения поддельного оверлея проверки Cloudflare CAPTCHA, который обманом заставляет пользователей копировать и выполнять вредоносную команду PowerShell. В отличие от более ранних вариантов ClickFix, которые обычно доставляют один инфостилер, эта кампания развертывает сложную многоступенчатую цепочку атак, сочетающую DLL- sideloading, извлечение полезной нагрузки с помощью стеганографии, обширную разведку Active Directory и специальный имплант обратного туннеля, предоставляя атакующему постоянный прокси-доступ на уровне сети через скомпрометированный хост. Цепочка атак развивается от социальной инженерии через доставку полезной нагрузки, закрепление, разведку и, наконец, туннелирование сети. Microsoft предоставляет рекомендации по обнаружению и охоте.