Microsoft warnt vor TerminalFix-Kampagne mit Reverse-Tunnel

Microsoft hat eine detaillierte Analyse der neuen Kampagne TerminalFix veröffentlicht – einer Variante der Technik ClickFix, die auf Organisationen aus unterschiedlichen Branchen abzielt. Im Unterschied zu klassischen ClickFix-Angriffen, bei denen das Opfer in den Dialog „Ausführen“ (Win+R) geleitet wird, lenkt TerminalFix Benutzer in Windows Terminal oder PowerShell um, was die Ausführung komplexer, mehrzeiliger Skripte ermöglicht. Die Angriffskette umfasst den Austausch von DLLs, das Extrahieren der Nutzlast aus Bildern mittels Steganographie, die Aufklärung von Active Directory sowie den Aufbau eines eigenen Reverse-Tunnels, der den kompromittierten Rechner in einen Einstiegspunkt in das interne Netzwerk verwandelt. Organisationen sollten die Ausführung von PowerShell für Standardbenutzer umgehend einschränken und die Protokollierung von Script-Blöcken aktivieren.

Einstiegsvektor: gefälschte CAPTCHA auf kompromittierten Websites

Der Angriff beginnt mit der Kompromittierung legitimer Websites, auf denen eine gefälschte Cloudflare-CAPTCHA-Verifizierung platziert wird. Besuchern wird angeboten, einen PowerShell-Befehl zu kopieren und auszuführen – angeblich, um die Prüfung zu bestehen. Der wesentliche Unterschied zu herkömmlichen ClickFix-Kampagnen besteht darin, dass der Benutzer gezielt in Windows Terminal oder PowerShell geleitet wird und nicht in den Dialog „Ausführen“. Wie die Microsoft-Forscher Sagar Patil, Suryaraj Natarajan und Parasharan Raghavan betonen, erhöht dies die Wahrscheinlichkeit, dass komplexe, mehrstufige Skripte erfolgreich ausgeführt werden, erheblich.

Mehrstufige Infektionskette

DLL sideloading über legitime Binärdatei

Der ausgeführte PowerShell-Befehl lädt ein ZIP-Archiv herunter, das zwei Dateien enthält: die signierte, legitime Binärdatei LockScreenContentServer.exe und die schädliche Bibliothek dui70.dll. Beim Start der legitimen ausführbaren Datei wird die bösartige DLL geladen – eine klassische DLL sideloading-Technik (MITRE ATT&CK T1574.002), die es ermöglicht, Schutzmechanismen zu umgehen, da der Hauptprozess als vertrauenswürdig gilt.

Steganographie und Persistenz

Die geladene bösartige DLL extrahiert die Nutzlast der nächsten Stufe aus PNG-Bildern, die auf externen Domains gehostet werden. Die Daten werden aus den Pixelinformationen der Bilder rekonstruiert – eine Steganographie-Technik (T1027.003), die die Erkennung durch netzwerkbasierte Schutzlösungen erschwert. Zur Sicherstellung der Persistenz nutzt die Malware gleichzeitig zwei Mechanismen: Autostart-Schlüssel in der Registry (T1547.001) und geplante Tasks (T1053.005).

Active-Directory-Aufklärung

Nach der Etablierung der Persistenz führt die Malware eine umfassende Aufklärung der internen Umgebung durch:

• Erfassung von System-Metadaten
• Erkennung von Vertrauensbeziehungen zwischen Domänen
• Auflistung der Domänen-Administratoren
• Suche nach Benutzern und Computern in Active Directory
• Anpingen benannter Server zur Abbildung der internen Netzwerktopologie

Die Summe dieser Aktivitäten entspricht mehreren MITRE-ATT&CK-Techniken: T1482 (Erkennung von Vertrauensbeziehungen zwischen Domänen), T1069.002 (Auflistung von Domänen-Gruppen), T1087.002 (Auflistung von Domänenkonten), T1018 (Erkennung entfernter Systeme).

Reverse-Tunnel und Steuerung

Die letzte Stufe ist die Bereitstellung eines in Python geschriebenen Implantats (client.py), das einen verschlüsselten Reverse-Tunnel über WebSocket zu einem Command-and-Control-Server aufbaut. Das Implantat ist in der Lage, beliebigen TCP-Traffic zu proxen und verwandelt den kompromittierten Rechner damit faktisch in ein Netzwerk-Gateway: Der Steuerungsserver erhält die Möglichkeit, jeden Host anzusprechen, der aus dem Netzwerk des Opfers erreichbar ist. Zusätzlich wird ein permanenter Überwachungszyklus in PowerShell eingerichtet, der eine Textdatei auf neue Befehle überprüft, diese über Invoke-Expression ausführt und die Ergebnisse in eine Ausgabedatei schreibt.

Indikatoren für eine Kompromittierung

Im Rahmen der Analyse hat Microsoft die folgenden bösartigen Domains identifiziert:

• bestsocialmedianewspapper[.]com – Hosting von PNG-Bildern mit steganographischer Nutzlast
• offlineupdater[.]com – alternatives Hosting der Nutzlast
• gitnow[.]dev (Port 443) – Command-and-Control-Server für den Reverse-Tunnel

Bewertung der Auswirkungen

Die Kampagne stellt ein hohes Risiko für Unternehmensumgebungen dar. Der Reverse-Tunnel verschafft dem Angreifer direkten Zugriff auf das interne Netzwerk der Organisation, und die Ergebnisse der Active-Directory-Aufklärung liefern Informationen für eine weitere Ausbreitung. Microsoft betont, dass ein solcher Zugriff potenziell für Privilegieneskalation, Deaktivierung von Schutzmechanismen, Diebstahl von Daten und die Bereitstellung von Ransomware genutzt werden könnte, dass solche Aktivitäten in der analysierten Angriffskette jedoch nicht beobachtet wurden – es handelt sich um mögliche Szenarien für eine weitergehende Ausnutzung.

Empfehlungen zum Schutz

Zur Reduzierung der mit TerminalFix verbundenen Risiken wird empfohlen:

1. Einschränkung der PowerShell-Ausführung für Standardbenutzer über AppLocker, Windows Defender Application Control oder Gruppenrichtlinien
2. Blockieren oder auf Audit setzen des Dialogs „Ausführen“ (Win+R), falls er für Geschäftsprozesse nicht erforderlich ist
3. Aktivierung der Protokollierung von PowerShell-Script-Blöcken (Script Block Logging), um verschleierte und codierte Befehle zu erkennen
4. Überwachung auf Anzeichen von DLL sideloading: Ausführung von LockScreenContentServer.exe aus unüblichen Pfaden, Laden von dui70.dll aus anderen als Systemverzeichnissen
5. Schulung der Mitarbeiter zur Erkennung gefälschter CAPTCHA, die zum Kopieren und Einfügen von Befehlen auffordern
6. Untersuchung kompromittierter Hosts als potenzielle Einstiegspunkte in das Netzwerk – Überprüfung auf vorhandene Reverse-Tunnel und Spuren einer Active-Directory-Aufklärung

Organisationen, die Zugriffe auf die genannten Domains oder die Ausführung von LockScreenContentServer.exe aus ungewöhnlichen Verzeichnissen festgestellt haben, sollten die betroffenen Hosts umgehend isolieren, die Netzwerkkommunikation auf WebSocket-Verbindungen zu gitnow[.]dev:443 analysieren und ein Audit der Active-Directory-Konten durchführen, auf die der Angreifer über den Aufklärungsmechanismus zugegriffen haben könnte. Priorität hat die Einschränkung der PowerShell-Ausführung für nicht privilegierte Benutzer, da genau diese Maßnahme die Angriffskette bereits im frühesten Stadium unterbricht.