⚡ Não perca: notícia importante no ar! ⚡
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A Microsoft divulgou detalhes de uma nova variante do ClickFix, chamada TerminalFix, que visa induzir os usuários a executar um comando malicioso no Terminal do Windows ou no PowerShell.
“Enquanto as campanhas ClickFix tradicionais direcionam as vítimas para a caixa de diálogo Executar do Windows, as campanhas TerminalFix aplicam a mesma técnica, mas direcionam os usuários para o Windows Terminal ou PowerShell, aumentando a probabilidade de que scripts complexos e multilinhas sejam executados com sucesso”, disseram os pesquisadores de segurança da Microsoft Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan em uma análise publicada esta semana.
A campanha, direcionada a organizações de vários setores, utiliza sites comprometidos como ponto de partida para fornecer verificações falsas de CAPTCHA da Cloudflare que levam visitantes desavisados do site a copiar e executar um comando malicioso do PowerShell.
A cadeia de ataque, de acordo com o fabricante do Windows, é um processo sofisticado de vários estágios que aproveita o carregamento lateral de DLL, extração de carga útil esteganográfica, amplo reconhecimento do Active Directory e um implante de túnel reverso personalizado sob medida que concede ao invasor acesso de proxy persistente em nível de rede através da máquina infectada.
Especificamente, o comando do PowerShell foi projetado para baixar um arquivo ZIP contendo um binário legítimo (“LockScreenContentServer.exe”) e uma DLL não autorizada (“dui70.dll”) para iniciar um ataque de carregamento lateral de DLL.
A DLL sideload é responsável por recuperar cargas úteis de próximo estágio ocultas em imagens PNG de domínios externos ("bestsocialmedianewspapper[.]com" ou "offlineupdater[.]com"), estabelece persistência por meio de chaves de execução de registro e tarefas agendadas, realiza reconhecimento de domínio e, em seguida, implanta um implante de comando e controle de túnel reverso (C2) baseado em Python.
O backdoor ("client.py") está equipado para encapsular o tráfego TCP arbitrário de volta à infraestrutura controlada pelo invasor ("gitnow[.]dev:443") por meio de um canal WebSocket criptografado, bem como permitir que o servidor C2 alcance qualquer host visível na rede da vítima.
A fase de reconhecimento envolve as seguintes etapas -
Colete metadados do sistema
Execute descoberta de confiança de domínio, enumeração de administrador de domínio e pesquisas de usuários e computadores do Active Directory
Faça ping em servidores nomeados para mapear a topologia da rede interna
O ataque também fornece um loop persistente de observação de arquivos do PowerShell que monitora um arquivo de texto em busca de novos comandos, executa-os por meio do Invoke-Expression e grava os resultados em um arquivo de saída.
“Este tipo de intrusão é particularmente perigoso porque fornece aos atacantes acesso direto à rede interna de uma organização através do túnel reverso”, disse a Microsoft. “O reconhecimento observado e a capacidade de túnel reverso podem permitir que um invasor identifique e alcance sistemas adicionais a partir de um host comprometido.”
A gigante da tecnologia alertou que esse acesso pode ser abusado ainda mais para aumentar privilégios, desarmar controles de segurança, exfiltrar dados confidenciais e implantar ransomware, tornando o TerminalFix uma séria ameaça aos ambientes corporativos.
Para mitigar a ameaça, é aconselhável restringir a execução da caixa de diálogo PowerShell e Executar para usuários padrão por meio de AppLocker, Controle de Aplicativos para Windows ou Política de Grupo; considere bloquear ou auditar a caixa de diálogo Executar do Windows ("Win+R") se não for necessário; monitorar indicadores de carregamento lateral de DLL; treinar funcionários para ficarem atentos a ataques ClickFix; e habilite o log de blocos de script do PowerShell para detectar e analisar comandos ofuscados ou codificados.
“Enquanto as campanhas ClickFix tradicionais direcionam as vítimas para a caixa de diálogo Executar do Windows, as campanhas TerminalFix aplicam a mesma técnica, mas direcionam os usuários para o Windows Terminal ou PowerShell, aumentando a probabilidade de que scripts complexos e multilinhas sejam executados com sucesso”, disseram os pesquisadores de segurança da Microsoft Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan em uma análise publicada esta semana.
A campanha, direcionada a organizações de vários setores, utiliza sites comprometidos como ponto de partida para fornecer verificações falsas de CAPTCHA da Cloudflare que levam visitantes desavisados do site a copiar e executar um comando malicioso do PowerShell.
A cadeia de ataque, de acordo com o fabricante do Windows, é um processo sofisticado de vários estágios que aproveita o carregamento lateral de DLL, extração de carga útil esteganográfica, amplo reconhecimento do Active Directory e um implante de túnel reverso personalizado sob medida que concede ao invasor acesso de proxy persistente em nível de rede através da máquina infectada.
Especificamente, o comando do PowerShell foi projetado para baixar um arquivo ZIP contendo um binário legítimo (“LockScreenContentServer.exe”) e uma DLL não autorizada (“dui70.dll”) para iniciar um ataque de carregamento lateral de DLL.
A DLL sideload é responsável por recuperar cargas úteis de próximo estágio ocultas em imagens PNG de domínios externos ("bestsocialmedianewspapper[.]com" ou "offlineupdater[.]com"), estabelece persistência por meio de chaves de execução de registro e tarefas agendadas, realiza reconhecimento de domínio e, em seguida, implanta um implante de comando e controle de túnel reverso (C2) baseado em Python.
O backdoor ("client.py") está equipado para encapsular o tráfego TCP arbitrário de volta à infraestrutura controlada pelo invasor ("gitnow[.]dev:443") por meio de um canal WebSocket criptografado, bem como permitir que o servidor C2 alcance qualquer host visível na rede da vítima.
A fase de reconhecimento envolve as seguintes etapas -
Colete metadados do sistema
Execute descoberta de confiança de domínio, enumeração de administrador de domínio e pesquisas de usuários e computadores do Active Directory
Faça ping em servidores nomeados para mapear a topologia da rede interna
O ataque também fornece um loop persistente de observação de arquivos do PowerShell que monitora um arquivo de texto em busca de novos comandos, executa-os por meio do Invoke-Expression e grava os resultados em um arquivo de saída.
“Este tipo de intrusão é particularmente perigoso porque fornece aos atacantes acesso direto à rede interna de uma organização através do túnel reverso”, disse a Microsoft. “O reconhecimento observado e a capacidade de túnel reverso podem permitir que um invasor identifique e alcance sistemas adicionais a partir de um host comprometido.”
A gigante da tecnologia alertou que esse acesso pode ser abusado ainda mais para aumentar privilégios, desarmar controles de segurança, exfiltrar dados confidenciais e implantar ransomware, tornando o TerminalFix uma séria ameaça aos ambientes corporativos.
Para mitigar a ameaça, é aconselhável restringir a execução da caixa de diálogo PowerShell e Executar para usuários padrão por meio de AppLocker, Controle de Aplicativos para Windows ou Política de Grupo; considere bloquear ou auditar a caixa de diálogo Executar do Windows ("Win+R") se não for necessário; monitorar indicadores de carregamento lateral de DLL; treinar funcionários para ficarem atentos a ataques ClickFix; e habilite o log de blocos de script do PowerShell para detectar e analisar comandos ofuscados ou codificados.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #terminalfix #usa #captchas #falsos #da #cloudflare #para #implantar #backdoor #de #túnel #reverso
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário