Microsoft nous alerte d'une campagne active qui usurpe la vérification captcha de Cloudflare pour installer une porte dérobée sur les ordinateurs Windows. L'entreprise a qualifié cette menace de TerminalFix et prévient qu'une fois à l'intérieur, l'attaquant peut se déplacer à travers les réseaux internes de l'organisation affectée. La variante utilise le terminal Windows et PowerShell, ce qui la distingue des attaques ClickFix courantes.
Si nous visitons l’un des sites compromis par cette opération, nous tomberons sur une superposition qui imite fidèlement une vérification Cloudflare. L'invite demande de copier et d'exécuter une commande dans le terminal Windows ou PowerShell pour « terminer » le processus. Les chercheurs de Microsoft Sagar Patil, Suriyaraj Natarajan et Parasharan Raghavan ont détaillé l'opération dans une analyse publiée cette semaine : contrairement à ClickFix, qui amène généralement la victime vers la boîte de dialogue Exécuter, TerminalFix pointe directement vers le terminal, ce qui facilite l'exécution de scripts multilignes sans éveiller les soupçons.
Détournement de terminal Windows
L'objectif est d'organiser des organisations de divers secteurs et non pas tant d'utilisateurs individuels. Les attaquants utilisent les sites compromis uniquement comme passerelle : le véritable prix est l'accès au réseau interne et aux systèmes de sécurité. Annuaire actif depuis l'ordinateur infecté, qui devient un point d'appui pour se déplacer latéralement sans déclencher d'alarmes.
Le processus démarre dès que la victime exécute la commande qui indique la fausse superposition. Le système télécharge ensuite un fichier ZIP avec un binaire légitime, LockScreenContentServer.exeaccompagné d'une DLL frauduleuse appelée dui70.dll. Cette combinaison permet le sideloading : l'exécutable de confiance charge la bibliothèque malveillante sans que l'antivirus ne la détecte à l'œil nu, et c'est ainsi que TerminalFix parvient à exécuter du code arbitraire en profitant d'un programme que Windows considère comme sûr.
Comment utiliser les images PNG pour vous attaquer
Une fois active, la DLL récupère les charges utiles supplémentaires cachées dans les images PNG hébergées sur des domaines tels que meilleur journal des médias sociaux[.]com tu es un programme de mise à jour hors ligne[.]com. Cette technique, la stéganographie, sert à camoufler le code dans des fichiers qui semblent à première vue inoffensifs et qui passent généralement les filtres de sécurité périmétriques sans éveiller les soupçons.
Le malware s'assure également de survivre à un redémarrage : il modifie les clés de registre et crée des tâches planifiées à relancer à chaque démarrage de Windows. De cette façon, même si nous éteignons l’ordinateur ou si nous nous déconnectons, la porte dérobée est automatiquement réactivée et maintient l’accès à distance ouvert aux attaquants.
Le dernier maillon de la chaîne est un implant en Python, client.pyqui ouvre une connexion cryptée par WebSocket à gitnow[.]développement:443. Il fonctionne comme un proxy SOCKS5 et donne aux attaquants un accès direct au réseau interne de la victime, contournant une grande partie des protections périmétriques habituelles.
À partir de là, le malware collecte les métadonnées du système, suit les relations de confiance entre les domaines et répertorie les comptes d'administrateur. Il envoie également des pings aux serveurs désignés pour dresser une carte de la topologie du réseau. Microsoft précise que, pour l'instant, il n'a pas observé de mouvements latéraux effectifs dans cette campagne, tout en prévenant que cet accès pourrait ultérieurement être utilisé pour voler des données ou déployer rançongiciel.
Quelles mesures peuvent protéger votre PC
Microsoft demande de traiter tout ordinateur concerné comme un point pivot et de rechercher s'il y a eu un mouvement latéral, puisque l'implant donne un accès direct au réseau interne de l'organisation concernée.
Les bonnes pratiques de cybersécurité pour ces types de campagnes incluent la restriction de l'utilisation de PowerShell et de la boîte d'exécution pour les utilisateurs standard utilisant outils de contrôle des applications o Stratégie de groupe, surveillez les signes de chargement latéral de DLL dans les binaires légitimes et activez la journalisation des blocs de script PowerShell pour détecter les commandes obscurcies. Former les employés à reconnaître ces fausses vérifications continue d'être l'un des obstacles les plus efficaces, un élément dont il faut tenir compte si l'on gère les réseaux d'entreprise.
FAQ Microsoft TerminalFix C'est le nom que Microsoft a donné à une campagne qui utilise des sites Web compromis et une fausse vérification Cloudflare pour inciter les utilisateurs à exécuter des commandes malveillantes dans PowerShell, installant ainsi une porte dérobée avec accès aux réseaux internes.
ClickFix dirige généralement la victime vers la boîte de dialogue Exécuter de Windows, tandis que TerminalFix amène la victime directement au terminal Windows ou à PowerShell, ce qui facilite l'exécution de scripts multilignes plus complexes.
Limitez l'utilisation de PowerShell et de la boîte d'exécution aux utilisateurs standard disposant d'outils de contrôle d'application ou de stratégie de groupe, surveillez les signes de chargement latéral de DLL, activez la journalisation des blocs de script PowerShell et formez les employés à reconnaître ces fausses vérifications.
Qu’est-ce que TerminalFix ?
En quoi TerminalFix est-il différent des attaques ClickFix ?
Que est-il recommandé pour se protéger de TerminalFix ?