この攻撃は、侵害されたWebサイト上に本物そっくりの偽のCloudflareTurnstile CAPTCHAが表示されることから始まります。ページには「Verify you are human（あなたが人間であることを確認してください）」というプロンプト、Cloudflareのブランディング、そして読み込み中のアニメーションが表示されます。
ユーザーが確認用のボックスをクリックすると、悪意のあるPowerShellコマンドがクリップボードにコピーされます。その後、Windows TerminalまたはPowerShellを開いてそのコマンドを貼り付け、偽の確認作業を完了させるよう指示されます。
このコマンドは、Cloudflareを模したメッセージ（ユーザーがロボットではないという偽の確認表示を含む）を表示するため、一見正規のもののように見えます。
しかし実際には、ZIPアーカイブをダウンロードし、C:\ProgramData配下の隠しディレクトリに展開したうえで、バッチファイルを起動します。
このアーカイブには、正規の署名済みWindows実行ファイルであるLockScreenContentServer.exeと、悪意のあるdui70.dllファイルが含まれています。
攻撃者は、正規の実行ファイルと並べて悪意あるDLLを配置することで、DLLサイドローディングを悪用します。実行されると、信頼された実行ファイルは本来のWindowsコンポーネントの代わりに、攻撃者が用意したDLLを読み込みます。
サイドロードされたDLLは、感染の次の段階を開始します。攻撃者が管理するドメインからPNG画像をダウンロードし、そのピクセルデータの中に隠された不正なマルウェアを抽出します。
このステガノグラフィ技術により、ペイロードは無害な画像ファイルに偽装され、ネットワーク上での検査も一層難しくなります。
抽出されるコンポーネントには、追加の実行ファイル、DLLの断片、PowerShellスクリプト、そしてPythonベースの独自トンネリングツールが含まれます。マルウェアはまた、フォレンジック調査の痕跡を減らすため、抽出後にダウンロードした画像を削除します。
TerminalFixは、レジストリのRunキーとスケジュールタスクを通じて永続化を確立します。このスケジュールタスクは、悪意のあるLockScreenContentServer.exeを60分ごとに再起動します。またこのキャンペーンでは、隠しファイル属性とシステムファイル属性を使って作業ディレクトリを隠蔽しています。
永続化に成功した後、マルウェアは徹底的な偵察活動を行います。システム情報を収集し、Active Directory上のユーザーおよびコンピューターを列挙してドメイン管理者を特定するほか、ドメイン間の信頼関係を確認し、ドメインコントローラー、データベース、バックアップシステム、ゲートウェイ、メールサーバーなどのサーバーを探索します。
最も危険なコンポーネントは、pythonw.exeを通じて起動される独自のリバーストンネル型インプラントで、これは画面上に表示されるウィンドウを持たずに動作します。
このインプラントは、TLSポート443経由でgitnow[.]devに接続し、その接続をWebSocketトンネルへとアップグレードします。任意のTCPトラフィックを中継できるため、攻撃者は事実上、侵害されたエンドポイントを介してSOCKS形式のプロキシアクセスを手に入れることになります。
つまり、感染した端末は企業ネットワークへの侵入経路（ピボットポイント）となり得るのです。攻撃者はこのトンネルを利用して、インターネットから直接到達できない内部システムにアクセスする可能性があります。
Microsoftによれば、今回分析された攻撃チェーンにおいて後続の攻撃行動は確認されていないものの、各組織に対しては影響を受けた端末について横移動や認証情報の漏えいがないか調査するよう警告しています。Microsoftはそう述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記（[.]など）を行っています。再度有効な形式に戻す際は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/terminalfix-opens-reverse-tunnels/
