🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma nova variante do ClickFix chamada TerminalFix usa avisos falsos do Cloudflare CAPTCHA em sites comprometidos para induzir as vítimas a executar comandos maliciosos do PowerShell no Terminal do Windows.
Ao contrário dos ataques típicos do ClickFix, que geralmente levam a infecções por malware infostealer, esta campanha usa uma cadeia de intrusão em vários estágios que, em última análise, oferece aos invasores um túnel reverso para a rede interna da vítima.
O TerminalFix difere dos ataques normais do ClickFix porque direciona os usuários para o Terminal do Windows ou PowerShell, o que permite a execução bem-sucedida de scripts multilinhas mais complexos.
A Microsoft descobriu os ataques em estado selvagem, mas não observou atividades práticas. No entanto, os pesquisadores alertam que o acesso obtido dessa forma pode ser aproveitado para movimentação lateral, escalonamento de privilégios, roubo de credenciais, desativação de ferramentas de segurança, exfiltração de dados ou implantação de ransomware.
A infecção começa com um prompt CAPTCHA falso que instrui as vítimas a executar um comando do PowerShell pré-carregado na área de transferência como parte do suposto processo de verificação.
A etapa ClickFixFonte: Microsoft
O comando baixa um arquivo ZIP que contém um executável assinado legítimo e um arquivo DLL malicioso, que decodifica e inicia uma carga ofuscada diretamente na memória.
Na segunda etapa, o agente da ameaça usou a esteganografia para ocultar executáveis e fragmentos de DLL nos dados de pixel de três imagens PNG. O script baixa os arquivos de imagem do servidor de comando e controle (C2) e remonta as cargas incorporadas no disco.
Recuperando código de três imagens esteganográficasFonte: Microsoft
O malware estabelece persistência por meio de uma tarefa agendada e uma chave Registry Run, configurada para ser executada a cada hora.
Enquanto ativo, ele realiza reconhecimento sondando controladores de domínio, bancos de dados, servidores de backup, gateways e sistemas de correio; coletar informações do sistema; e enumeração do Active Directory (AD).
O componente mais importante é um módulo de túnel reverso Python personalizado que se conecta a um endereço de saída (gitnow[.]dev:443 ) por meio de um WebSocket criptografado, suportando proxy TCP arbitrário no estilo SOCKS5.
Isso permite que o invasor instrua a máquina comprometida a se conectar a IPs internos, nomes de host e portas acessíveis pela vítima.
Estabelecendo um túnel reversoFonte: Microsoft
O túnel reverso também oferece suporte à multiplexação de múltiplas conexões em um WebSocket, rotação de strings realistas do agente do usuário do navegador, manutenção de atividade e desligamento remoto.
A Microsoft diz que isso pode transformar o endpoint infectado em um pivô de rede, dando ao operador uma rota para sistemas descobertos durante a operação anterior de AD e reconhecimento de rede.
Os pesquisadores recomendam restringir e registrar a execução do PowerShell, monitorar ‘LockScreenContentServer.exe’ fora de seu caminho normal e fortalecer navegadores e proteções de endpoint.
Se o comprometimento for confirmado, é aconselhável investigar movimentos laterais e alternar credenciais, incluindo credenciais de administrador de domínio, se acessíveis a partir do host infectado.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
Ao contrário dos ataques típicos do ClickFix, que geralmente levam a infecções por malware infostealer, esta campanha usa uma cadeia de intrusão em vários estágios que, em última análise, oferece aos invasores um túnel reverso para a rede interna da vítima.
O TerminalFix difere dos ataques normais do ClickFix porque direciona os usuários para o Terminal do Windows ou PowerShell, o que permite a execução bem-sucedida de scripts multilinhas mais complexos.
A Microsoft descobriu os ataques em estado selvagem, mas não observou atividades práticas. No entanto, os pesquisadores alertam que o acesso obtido dessa forma pode ser aproveitado para movimentação lateral, escalonamento de privilégios, roubo de credenciais, desativação de ferramentas de segurança, exfiltração de dados ou implantação de ransomware.
A infecção começa com um prompt CAPTCHA falso que instrui as vítimas a executar um comando do PowerShell pré-carregado na área de transferência como parte do suposto processo de verificação.
A etapa ClickFixFonte: Microsoft
O comando baixa um arquivo ZIP que contém um executável assinado legítimo e um arquivo DLL malicioso, que decodifica e inicia uma carga ofuscada diretamente na memória.
Na segunda etapa, o agente da ameaça usou a esteganografia para ocultar executáveis e fragmentos de DLL nos dados de pixel de três imagens PNG. O script baixa os arquivos de imagem do servidor de comando e controle (C2) e remonta as cargas incorporadas no disco.
Recuperando código de três imagens esteganográficasFonte: Microsoft
O malware estabelece persistência por meio de uma tarefa agendada e uma chave Registry Run, configurada para ser executada a cada hora.
Enquanto ativo, ele realiza reconhecimento sondando controladores de domínio, bancos de dados, servidores de backup, gateways e sistemas de correio; coletar informações do sistema; e enumeração do Active Directory (AD).
O componente mais importante é um módulo de túnel reverso Python personalizado que se conecta a um endereço de saída (gitnow[.]dev:443 ) por meio de um WebSocket criptografado, suportando proxy TCP arbitrário no estilo SOCKS5.
Isso permite que o invasor instrua a máquina comprometida a se conectar a IPs internos, nomes de host e portas acessíveis pela vítima.
Estabelecendo um túnel reversoFonte: Microsoft
O túnel reverso também oferece suporte à multiplexação de múltiplas conexões em um WebSocket, rotação de strings realistas do agente do usuário do navegador, manutenção de atividade e desligamento remoto.
A Microsoft diz que isso pode transformar o endpoint infectado em um pivô de rede, dando ao operador uma rota para sistemas descobertos durante a operação anterior de AD e reconhecimento de rede.
Os pesquisadores recomendam restringir e registrar a execução do PowerShell, monitorar ‘LockScreenContentServer.exe’ fora de seu caminho normal e fortalecer navegadores e proteções de endpoint.
Se o comprometimento for confirmado, é aconselhável investigar movimentos laterais e alternar credenciais, incluindo credenciais de administrador de domínio, se acessíveis a partir do host infectado.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
#samirnews #samir #news #boletimtec #microsoft #alerta #sobre #ataques #terminalfix #implantando #túneis #reversos
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário