Miks teie kasutajad kopeerivad pahavara otse PowerShelli

Keskmise suurusega ettevõtte turundusjuhi teisipäev on täis frustratsiooni. Olulise kliendikohtumise Zoomi link ei laadi korralikult, kuvades brauseri vea puuduva koodeki kohta. Ilmub abivalmis hüpikaken nupuga "Fix" (Paranda). See palub juhil kopeerida koodirea, avada PowerShelli ja kleepida käsu probleemi lahendamiseks. Mõne sekundi pärast on juht tagasi koosolekul, teadmata, et ta just kutsus ründaja ettevõtte sisevõrku. See on ClickFixi sotsiaalse manipuleerimise taktika tuum ja selle uusim areng on kampaania, mida Microsoft kutsub nimega TerminalFix.

Analüüsisin hiljuti oma laboris selle kampaania näidist. Pahavara tehniline keerukus on tähelepanuväärne, kuid rünnaku tegelik mootor on psühholoogiline manipulatsioon. Ründajad on liikunud tehnilistelt nõrkustelt sellele, mida ma nimetan "inimavustatud käivitamiseks". Nad ei pea enam leidma brauseris nullpäeva haavatavust, kui nad saavad lihtsalt veenda inimest mööduma igast turvakontrollist omaenda masinas. Riski seisukohast tühistab see täielikult võrgupiirde kontseptsiooni.

Võlts-CAPTCHA psühholoogiline lõks

TerminalFixi kampaania algab kompromiteeritud veebisaidi või pahatahtliku reklaamiga. Kui kasutaja maandub lehel, näeb ta realistlikku kihti, mis imiteerib Cloudflare'i CAPTCHA-t või brauseri värskendusteatist. See on kaval valik, sest kasutajad on harjunud neid liideseid usaldama. Meile on kümme aastat räägitud, et CAPTCHA-d on viis, kuidas me tõestame, et oleme inimesed ja turvalised. Ründaja kuritarvitab seda usaldust, muutes turvarituaali nakatumisvektoriks.

TerminalFixi variandis juhendatakse kasutajat tegema mitmeid manuaalseid samme oma isiku "tuvastamiseks" või renderdusvea parandamiseks. Juhised käsivad kasutajal vajutada kindlat klahvikombinatsiooni, nagu Windowsi klahv + R, või avada otse Windows Terminal. Sel ajal kui kasutaja neid samme järgib, kopeerib veebisait märkamatult süsteemi lõikelauale pahatahtliku käsu. Kui kasutaja kleebib selle, mida ta peab kinnitusvõtmeks, kleebib ta tegelikult PowerShelli üherealise käsu, mis käivitab mitmeetapilise nakatumise.

Ohumaastikku vaadates on see meetod märkimisväärselt tõhus, kuna see väldib paljusid traditsioonilisi e-posti lüüsi filtreid. Skannimiseks pole pahatahtlikku manust ega postkastis kahtlast linki. Suhtlus toimub täielikult brauseris ja kasutaja kohalikus keskkonnas. Disaini poolest on käsk sageli obfuskeeritud või kasutab järgmise etapi allalaadimiseks legitiimseid süsteemitööriistu nagu "powershell.exe" või "msiexec.exe", muutes algse käivitamise tuvastamise tavalise viirusetõrjetarkvara jaoks keeruliseks.

Liikumine Windows Run aknast terminali

Varasemad ClickFixi kampaaniad tuginesid sageli Windows Run (Käivita) dialoogile lühikeste käskude täitmiseks. Kuigi see on tõhus lihtsate allalaadijate puhul, on Run-dialoogil tähemärkide piirang, mis piirab algse skripti keerukust. TerminalFix sihib selle asemel Windows Terminali või PowerShelli. See muudatus ei ole lihtsalt kosmeetiline eelistus. Terminaliaken suudab vastu võtta oluliselt pikemaid, mitmerealisi skripte, mis sisaldavad sisseehitatud loogikat keskkonna kontrollimiseks ja analüüsivastaseid rutiine.

Microsofti teadlased väidavad, et kasutajate suunamine PowerShelli suurendab tõenäosust, et keerulised skriptid käivituvad edukalt. Kaasaegsed Windowsi versioonid avavad Terminali vaikimisi PowerShelli sessioonina, pakkudes ründajale kohe võimsat skriptimiskeskkonda. See keerukus võimaldab ründajal läbi viia esmast luuret enne, kui sekundaarsed failid kettale jõuavad. Skript saab kontrollida, kas masin on domeeniga liidetud, otsida spetsiifilist turvatarkvara või tuvastada, kas see töötab pahavara-uurijate kasutatavas virtuaalmasinas.

Kulisside taga laadib algne PowerShelli käsk alla ZIP-arhiivi. Selle arhiivi sees on legitiimne käivitatav fail ja pahatahtlik DLL. Ründaja kasutab tehnikat nimega DLL-i külglaadimine (sideloading). Kui legitiimne programm käivitub, otsib see toimimiseks vajalikke raamatukogufaile. Ründaja asetab samasse kausta sama nimega pahatahtliku faili. Süsteem laadib päris raamatukogu asemel pahatahtliku koodi. See on varjatud viis pahatahtliku tegevuse peitmiseks usaldusväärse rakenduse protsessinime alla.

Steganograafia ja pöördunneli implant

Rünnakuahel ei piirdu lihtsa faili käivitamisega. TerminalFix kasutab steganograafiat, et peita oma sekundaarsed failid näiliselt kahjutute PNG-pildifailide sisse. See on vastumeede võrgupõhisele liikluskontrollile. Tulemüür võib blokeerida käivitatava faili otsese allalaadimise, kuid tõenäoliselt ei märgi see kahtlaseks piltide allalaadimist pealtnäha legitiimsest domeenist. Pahatahtlik DLL eraldab nendest piltidest peidetud koodi ja paneb lõpliku sisu mälus kokku.

Üks selle kampaania ohtlikumaid komponente on Pythoni-põhine pöördunneli C2 (käsu- ja kontrollkeskuse) implant. See implant loob krüpteeritud WebSocket-kanali kaudu püsiva ühenduse ründaja infrastruktuuriga. See suunab suvalise TCP-liikluse läbi selle kanali tagasi. Proaktiivselt rääkides on see intsidentide lahendajate õudusunenägu. See asetab ründaja sisuliselt sisevõrku, nagu oleks ta füüsiliselt kontori Etherneti porti ühendatud.

Seda pöördunnelit hõlmava rikkumise korral on ründajal otsene vaade organisatsiooni domeenikontrolleritele, failijagamistele ja siserakendustele. Nad saavad mööda minna paljudest väljapoole suunatud turvakontrollidest, kuna nende liiklus pärineb usaldusväärsest sisehostist. Microsofti teadlased on täheldanud, et ründajad kasutavad seda juurdepääsu õiguste eskaleerimiseks ja tundlike andmete väljaviimiseks. Mõnel juhul viib see juurdepääs otse lunavara levitamiseni kogu ettevõttes.

Arutelu TerminalFixi nime uudsuse üle

Turvakogukonnas toimub elav arutelu selle üle, kas TerminalFix on tõesti eraldiseisev oht. Mõned uurijad, sealhulgas Tommy Madjar Proofpointist, väidavad, et terminaliakende kasutamine ei ole uus areng. Nad viitavad sellele, et varaseim ClickFixi tegevus 2024. aasta algusest kasutas juba terminaliaknaid sisu käivitamiseks. Sellest vaatepunktist on TerminalFix lihtsalt järjekordne iteratsioon väljakujunenud klastritest nagu ClearFake või ErrTraffic.

Suhtlen Signali kaudu mitmete ohuinfo analüütikutega, kes jagavad seda skeptitsismi. Nad näevad neid kampaaniaid pigem sotsiaalse manipuleerimise peibutiste pideva evolutsioonina kui eraldiseisvate bränditud ohtudena. Olenemata sellest, kas me nimetame seda TerminalFixiks või ClearFake'i variandiks, jääb tehniline reaalsus samaks. Ründajad liiguvad edukalt eemale automatiseeritud rünnakutest kasutaja käitumise manipuleerimise suunas. See muutus nõuab meilt lõppseadmete kaitsmise ümbermõtestamist.

Arhitektuurilisel tasandil on probleem selles, et oleme ehitanud süsteeme, mis annavad tavakasutajale käsurea kaudu tohutu võimu. Kuigi arendajad ja süsteemiadministraatorid vajavad neid tööriistu, peab tüüpiline kontoritöötaja harva PowerShelli puudutama. TerminalFixi kampaania kasutab ära seda võimekuste üleküllust. Kui kasutajal on õigus käivitada skript, mis loob püsiva võrgutunneli, siis sõltub kogu organisatsiooni turvalisus sellest, et seda ühte kasutajat ei peteta.

Praktiline kaitse ja inimtulemüür

TerminalFixi vastu kaitsmine nõuab tehniliste piirangute ja kasutajate harimise kombinatsiooni. Peale paikamise on kõige tõhusam tehniline vastumeede PowerShelli ja Windows Run dialoogi piiramine kasutajatele, kes neid ei vaja. Organisatsioonid saavad kasutada grupiviisilist poliitikat (Group Policy) või AppLockerit, et luua nende tööriistade jaoks "vaikimisi keelatud" olek. Kui minu varasema näite turundusjuht oleks proovinud avada PowerShelli ja saanud teate "See tegevus on teie administraatori poolt piiratud", oleks rünnak kohe ebaõnnestunud.

Kuid laialdased piirangud ei ole alati teostatavad. Paljud kaasaegsed tarkvaratööriistad toetuvad paigaldamisel ja värskendamisel terminali käskudele. Nagu Tommy Madjar märkis, soovitavad isegi legitiimsed arendajatööriistad, nagu Claude Code, paigaldusmeetodeid, mis hõlmavad käskude kleepimist terminali. See loob kasutajate jaoks segadusttekitava keskkonna. Neile öeldakse, et nad ei kleebiks kunagi käske veebisaidilt, kuid siis paluvad nende ametlikud ettevõtte tööriistad neil just seda teha. Seetõttu on haridus inimtulemüüri kriitiline komponent.

Koolitus peab minema kaugemale lihtsast "ära klõpsa" nõuandest. Kasutajad peavad mõistma usaldusväärse allika kontseptsiooni ja lõikelaua erilist ohtu. Soovitan organisatsioonidel läbi viia õngitsemissimulatsioone, mis imiteerivad konkreetselt ClickFixi tehnikat. Nähes, kui lihtsalt võib võlts-CAPTCHA viia terminali viibani, on enamiku töötajate jaoks silmi avav kogemus. Kui kasutajad mõistavad rünnaku tagamaid, on nad tõenäoliselt vastupidavamad, kui nad kohtuvad tegeliku ohuga.

Forensilisest vaatepunktist peaksid turvameeskonnad jälgima ebatavalisi vanem-laps protsesside seoseid. On haruldane, et veebibrauser nagu Chrome või Edge on vanemprotsessiks PowerShelli sessioonile, mis seejärel käivitab võrguaktiivse Pythoni interpretaatori. Need signaalid on TerminalFixi sissetungi detailsed indikaatorid. Normaalse terminalikasutuse baastaseme kehtestamine võimaldab turvakeskusel (SOC) need anomaaliad tuvastada enne, kui ründaja saab võrgus külgsuunas liikuda.

Peamised järeldused ettevõtte turvalisuse jaoks

• Auditige PowerShelli ja Windows Terminali kasutamist kogu organisatsioonis ning piirake tavakasutajate juurdepääsu GPO või AppLockeri kaudu.
• Jälgige DLL-i külglaadimise indikaatoreid, eriti legitiimseid käivitatavaid faile, mis töötavad ebatavalistest kataloogidest või laadivad allkirjastamata DLL-e.
• Rakendage võrguseiret, et tuvastada püsivat ja mahukat WebSocket-liiklust tundmatutele välistele IP-dele, mis võib viidata pöördunnelile.
• Uuendage turvateadlikkuse koolitust, et see hõlmaks "ClickFix" stiilis peibutisi ja terminaliakendesse lõikelaualt käskude kleepimise ohte.
• Hinnake rakenduste kontrolli lahendusi, mis takistavad volitamata skriptide käivitamist isegi siis, kui need kleebitakse legitiimsesse kesta.

Allikad: Microsoft Threat Intelligence, MITRE ATT&CK (tehnikad T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

See artikkel on mõeldud ainult informatiivsel ja hariduslikul eesmärgil ning ei asenda professionaalset küberturbeauditit ega intsidentide lahendamise teenust.