La campaña TerminalFix construye túneles inversos para acceso persistente

Resumen

La campaña TerminalFix es una variante de ClickFix que utiliza superposiciones falsas de CAPTCHA de Cloudflare para engañar socialmente a los usuarios y hacer que ejecuten comandos maliciosos de PowerShell. La cadena de ataque combina carga lateral de DLL, extracción de carga útil esteganográfica de imágenes PNG y un reconocimiento exhaustivo de Active Directory. Finalmente, la campaña despliega un implante de túnel inverso basado en Python personalizado que otorga a los atacantes acceso proxy persistente a nivel de red.

Investigación

La inteligencia de amenazas de Microsoft analizó la cadena de ataque de múltiples etapas, que abusa del firmado legítimo de LockScreenContentServer.exe binario para la carga lateral de DLL. La investigación mostró cómo las cargas maliciosas están ocultas dentro de los píxeles PNG y cómo un tiempo de ejecución Python establece un túnel inverso basado en WebSocket. Los investigadores también identificaron la infraestructura de comando y control y las técnicas de reconocimiento utilizadas para mapear redes internas.

Mitigación

Las organizaciones deben restringir la ejecución de PowerShell mediante AppLocker o Política de Grupo y monitorear LockScreenContentServer.exe ejecutándose desde ubicaciones inusuales o no estándar. Las reglas de Reducción de Superficie de Ataque (ASR) pueden ayudar a bloquear scripts ofuscados y lanzamientos de ejecutables no autorizados. El entrenamiento de usuarios enfocado en reconocer los mensajes falsos de CAPTCHA también es una medida preventiva importante.

Respuesta

Si se detecta actividad de TerminalFix, los dispositivos afectados deben tratarse como posibles puntos de pivote de red e investigarse para detectar movimientos laterales. La rotación de credenciales debe tener prioridad, particularmente para las cuentas de administrador de dominio accesibles desde el sistema comprometido. Los equipos de seguridad también deben realizar análisis forense para detectar tiempos de ejecución de Python no autorizados y conexiones WebSocket salientes sospechosas.

Ejecución de Simulación

Prerrequisito: El Control Previo de Telemetría y Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y el relato deben reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa del Ataque y Comandos: El adversario intenta establecer un túnel inverso persistente. Para integrarse con los procesos del sistema, primero colocan un binario que parece legítimo, LockScreenContentServer.exe, en un directorio. Luego utilizan la carga lateral de DLL para ejecutar código malicioso. Después de esto, inician un túnel basado en Python usando pythonw.exe (para evitar una ventana de consola visible) y ejecutan un script llamado client.py. Esta secuencia está diseñada para crear una puerta trasera a nivel de red que eluda las restricciones estándar del firewall mediante el túnel de WebSocket.

• Script de Prueba de Regresión:

  # Script de Simulación: Emulación de Túnel Inverso TerminalFix
  # 1. Configurar Entorno
  $targetDir = "C:UsersPublicDownloadsSystemFiles"
  New-Item -Path $targetDir -ItemType Directory -Force
  
  # 2. Crear 'LockScreenContentServer.exe' de prueba (Simulando el binario cargado lateralmente)
  # En un ataque real, este sería un archivo PE real.
  $dummyExe = Join-Path $targetDir "LockScreenContentServer.exe"
  New-Item -Path $dummyExe -ItemType File -Force
  
  # 3. Crear script de Python de prueba 'client.py'
  $pythonScript = Join-Path $targetDir "client.py"
  "print('Establishing tunnel...')" | Out-File -FilePath $pythonScript -Encoding ascii
  
  # 4. Ejecutar los procesos 'maliciosos' para activar la lógica de detección
  # Activar Parte A: LockScreenContentServer.exe
  Start-Process -FilePath $dummyExe -WindowStyle Hidden
  
  # Activar Parte B: pythonw.exe con client.py en línea de comando
  # Nota: Usamos la ruta completa a pythonw.exe como se espera en la regla
  $pythonwPath = "C:WindowsSystem32pythonw.exe" 
  # Si pythonw no está en System32, lo ubicamos
  if (-not (Test-Path $pythonwPath)) {
      $pythonwPath = (Get-Command pythonw.exe).Source
  }
  
  Start-Process -FilePath $pythonwPath -ArgumentList $pythonScript -WindowStyle Hidden

• Comandos de Limpieza:

  # Script de Limpieza
  $targetDir = "C:UsersPublicDownloadsSystemFiles"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
  }