In questo articolo Indice dei contenuti 2 sezioni
Si chiama TerminalFix l’ultima variante di ClickFix individuata da Microsoft, e la differenza rispetto alle campagne viste finora sta tutta in ciò che accade dopo il clic. Il meccanismo di partenza resta quello di sempre, cioè convincere la persona davanti allo schermo a eseguire di sua mano un comando, senza bisogno di sfruttare alcuna falla software. Solo che qui il traguardo degli aggressori non è più il furto di qualche password, bensì un punto d’appoggio stabile dentro la rete aziendale.
L’inganno iniziale è quasi banale nella sua semplicità. Un sito compromesso mostra un overlay che imita l’interfaccia di Cloudflare Turnstile, logo compreso, con la casella “Verify you are human” e la solita animazione di caricamento. Nel momento in cui l’utente interagisce con il finto controllo antispam, negli Appunti di Windows finisce un comando PowerShell preparato dagli attaccanti. Le istruzioni a schermo chiedono poi di aprire Windows Terminal o PowerShell, incollare e premere Invio.
Perché il terminale al posto della finestra Esegui
Qui sta la novità rispetto al ClickFix classico. La finestra Esegui accetta comodamente comandi brevi, mentre il terminale permette script su più righe e operazioni ben più articolate. Microsoft insiste proprio su questo punto, perché indirizzare la vittima verso Terminal aumenta le probabilità che sequenze PowerShell complesse funzionino senza intoppi. Per rendere il tutto credibile, il comando pulisce lo schermo e stampa messaggi colorati che simulano una procedura Cloudflare, fino a una conferma finale del tipo “I am not a robot” accompagnata da un identificativo. Dietro quella facciata, intanto, PowerShell ha già scaricato un archivio ZIP, lo ha estratto sotto C:ProgramData e ha avviato uno script malevolo in background.
Dentro l’archivio ci sono due componenti che meritano attenzione: LockScreenContentServer.exe, eseguibile Microsoft legittimo e regolarmente firmato, e un file chiamato dui70.dll che invece è controllato dagli aggressori. L’eseguibile importa normalmente funzioni dalla libreria dui70.dll, collegata alla DirectUI di Windows. Piazzando la propria copia nella stessa cartella, gli attaccanti fanno sì che Windows carichi quella al posto dell’originale di sistema. È la tecnica del DLL sideloading, che non richiede né di alterare il file Microsoft né di falsificarne la firma digitale. Il codice ostile finisce così a girare dentro un processo avviato da un binario attendibile. La DLL contraffatta, tra l’altro, riporta persino un riferimento a Windows DirectUI Engine per sembrare plausibile, poi recupera un blocco fortemente offuscato, lo decodifica in memoria e gli cede il controllo.
Payload nascosti nei pixel e mappatura della rete
La fase successiva ricorre alla steganografia. Lo script scarica tre immagini PNG dai server degli attaccanti e ne legge i canali RGBA, dove sono incorporate porzioni binarie dei payload. I primi 8 byte indicano la lunghezza tramite un intero a 64 bit, il resto sono i dati veri e propri. La prima immagine porta un eseguibile, le altre due contengono parti separate di una DLL che poi vengono unite. Ricostruito tutto, le immagini sorgenti vengono cancellate per lasciare meno tracce a chi dovesse indagare in seguito.
A questo punto TerminalFix cerca di capire dove si trova. Raccoglie informazioni sul sistema, verifica l’appartenenza al dominio, interroga Active Directory per elencare relazioni di trust, Domain Admin, computer e utenti. Vengono lette anche le descrizioni degli account, campo che in molte aziende contiene reparto, ruolo o sede. Poi la ricognizione punta ai server con nomi riconducibili a ruoli comuni, dai domain controller ai sistemi di backup, con query ADSI e ping mirati.
Il passaggio decisivo arriva alla fine. Gli attaccanti scaricano il pacchetto embeddable ufficiale di Python insieme a uno script chiamato client.py e aprono un reverse tunnel tramite pythonw.exe, che non mostra alcuna finestra console. Da lì il computer funziona come proxy TCP, con una logica simile a SOCKS5 per gestire IPv4, IPv6 e nomi host. La connessione parte in uscita sulla porta TCP 443, quella dell’HTTPS, e la macchina infetta si trova già oltre il firewall perimetrale. Microsoft consiglia alle organizzazioni che rilevano gli indicatori della campagna di verificare eventuali movimenti laterali e di ruotare le credenziali transitate sul dispositivo, con attenzione ancora maggiore per gli account amministrativi di dominio.
