TerminalFixは被害者を騙して悪意あるPowerShellコマンドを実行させ、最終的に侵害ネットワークへのリバーストンネル確立に至る多段階攻撃を仕掛けます。
攻撃者は偽のCAPTCHAプロンプトを使って被害者を騙し、悪意あるPowerShellコマンドを実行させています。これは、持続的なアクセス基盤の確立、ネットワーク偵察、さらには組織内へのより深いアクセス経路を攻撃者に与えかねない多段階侵入キャンペーンの一環です。
Microsoft Threat Intelligenceによると、同社が「TerminalFix」と呼ぶこのキャンペーンはClickFix手法の亜種で、侵害されたWebサイトを使って偽のCloudflare認証プロンプトを表示します。
被害者は悪意あるPowerShellコマンドをコピーして実行するよう騙され、それを起点にDLLサイドローディング、PNG画像内に隠されたペイロード、持続的アクセスの確立、Active Directoryの偵察、そして最終的にはカスタムのリバーストンネル型インプラントへと至る攻撃チェーンが始まります。
「従来のClickFixキャンペーンは被害者をWindowsの『ファイル名を指定して実行』ダイアログに誘導しますが、TerminalFixキャンペーンでは同じ手法を用いつつ、代わりにWindows TerminalやPowerShellへと誘導します。これにより、複雑な複数行のスクリプトが正常に実行される可能性が高まります」と同社はブログ投稿で述べています。
同社は、確認された活動に対する検出カバレッジ、侵害指標(IOC)、ハンティングクエリ、そして緩和策・対応ガイダンスを提供しています。
「人間であることを証明してください」が、まったく人間らしくない結末に
最初の誘導手段は、侵害されたWebサイト上に表示される偽のCloudflare CAPTCHA認証オーバーレイです。しかし、訪問者に単にチェックボックスをクリックさせるのではなく、このプロンプトはPowerShellコマンドをコピーして実行するよう指示します。
このコマンドは、正規のWindowsバイナリ「LockScreenContentServer.exe」と、「dui70.dll」という悪意あるDLLを含むZIPアーカイブをダウンロードします。この2つはDLLサイドローディング――正規の実行ファイルに悪意あるライブラリを読み込ませる手法――に使われます。
Microsoftによると、サイドロードされたDLLはステガノグラフィを使ってPNG画像内に隠された追加のペイロードをダウンロードします。また、レジストリのRunキーとスケジュールタスクの両方を通じて持続的アクセスを確立し、マルウェアが侵害システム上で生き残る手段を複数確保しています。
その後、攻撃は偵察活動に移ります。Microsoftは、このマルウェアがドメイン信頼関係を列挙し、ドメイン管理者を探し、Active Directoryのユーザー説明欄を抽出し、到達可能なシステムを特定するための標的型ping掃引を行う様子を確認しました。
最終幕はネットワークへのトンネル
このキャンペーンの最終ペイロードは、Pythonベースのカスタムリバーストンネル型インプラントです。
Pythonランタイムとトンネリングクライアントをダウンロードした後、このマルウェアはpythonw.exeを使って、ウィンドウを表示せずにインプラントを起動する、とMicrosoftは説明しています。
このインプラントは、攻撃者が制御するインフラへの暗号化WebSocket接続を確立します。これによりMicrosoftが「侵害されたホスト経由の完全なSOCKS方式のTCPプロキシアクセス」と表現する状態が作り出されます。
攻撃者は単一のエンドポイントの制御を維持するだけでなく、感染デバイスを内部ネットワークへの橋頭堡として利用できる可能性があります。Microsoftによると、偵察活動とリバーストンネル機能を組み合わせることで、攻撃者は侵害されたホストから追加のシステムを特定し、到達できるようになる恐れがあるとしています。
Microsoftは、分析したキャンペーンにおいて、その後に続く可能性のある下流の攻撃活動までは確認していないと強調しています。しかし、獲得されたアクセス権は、横展開、権限昇格、データ窃取、その他の後続活動の足がかりとなり得ます。Microsoftは、影響を受けたホストを徹底的に調査し、非標準のパスからのLockScreenContentServer.exeの異常な実行、不審なPowerShell活動、隠されたペイロード用ディレクトリ、そしてこのキャンペーンに関連する異常な送信接続を調べることを推奨しています。
