Uma campanha de malware sofisticada, apelidada de “TerminalFix”, está usando uma combinação de engenharia social e técnicas de ofuscação para comprometer computadores e obter acesso a redes corporativas. O ataque começa quando o usuário, enganado por um falso CAPTCHA da Cloudflare, cola um comando malicioso no Windows Terminal ou PowerShell.
Segundo reportagem do The Register, que detalha as descobertas da Microsoft, o método representa uma evolução perigosa. Em vez de simplesmente roubar credenciais, a campanha inicia uma cadeia de ataque multifásica que culmina na instalação de um túnel reverso, transformando a máquina infectada em uma ponte para os invasores acessarem a rede interna da vítima de forma persistente.
A Arquitetura do Engano
A isca inicial é uma evolução da tática conhecida como “ClickFix”. Ao direcionar a vítima para o Windows Terminal, os atacantes conseguem executar scripts mais complexos e ocultos. O primeiro comando PowerShell baixa um arquivo ZIP, que por sua vez utiliza uma técnica de DLL sideloading: um executável legítimo e assinado do Windows (LockScreenContentServer.exe) é usado para carregar uma DLL maliciosa.
Uma vez ativa, essa DLL executa um segundo script, que baixa o payload principal de uma forma engenhosa: oculto dentro de arquivos de imagem PNG. Essa técnica, conhecida como esteganografia, dificulta a detecção por ferramentas de segurança que inspecionam tipos de arquivo. Para aumentar a furtividade, o código é dividido em múltiplas imagens, que são depois remontadas no disco da vítima.
Da Infiltração ao Acesso Persistente
Após a infecção, o malware estabelece redundância para sobreviver a reinicializações, usando chaves de registro e tarefas agendadas. Em seguida, inicia uma fase de reconhecimento, mapeando a rede da vítima em busca de alvos valiosos. O código procura ativamente por servidores com funções críticas, como controladores de domínio, bancos de dados, sistemas de backup e servidores de e-mail, preparando o terreno para movimentação lateral.
O objetivo final é implantar um túnel reverso customizado, baseado em Python. Essa ferramenta concede ao atacante um acesso proxy à rede interna através da máquina comprometida, permitindo que ele opere de dentro do perímetro de segurança da empresa. A combinação de reconhecimento de rede e acesso persistente cria uma ameaça significativa.
A campanha TerminalFix é um exemplo da combinação de táticas para criar ataques mais eficazes. Não há uma única técnica revolucionária, mas a orquestração de métodos conhecidos — engenharia social, ofuscação e persistência — resulta em uma ameaça difícil de detectar e com alto potencial de dano, reforçando que o elo humano continua sendo o ponto de partida crítico para a segurança corporativa.
Com reportagem de Brazil Valley
Source · The Register
