Perché i vostri utenti incollano malware direttamente in PowerShell

Un marketing manager di un'azienda di medie dimensioni sta vivendo un martedì frustrante. Un link Zoom per una riunione critica con un cliente non si carica correttamente, visualizzando un errore del browser relativo a un codec mancante. Appare un utile pop-up con un pulsante "Fix". Viene chiesto al manager di copiare una riga di codice, aprire PowerShell e incollare il comando per risolvere il problema. In pochi secondi, il manager torna alla riunione, ignaro di aver appena invitato un attore di minacce nella rete interna dell'azienda. Questo è il cuore della tattica di ingegneria sociale ClickFix, e la sua ultima evoluzione è una campagna che Microsoft chiama TerminalFix.

Recentemente ho analizzato un campione di questa campagna nel mio laboratorio. La sofisticatezza tecnica del malware è degna di nota, ma la manipolazione psicologica è il vero motore dell'attacco. Gli aggressori sono passati dagli exploit tecnici a quella che io chiamo "esecuzione assistita dall'uomo". Non hanno più bisogno di trovare una vulnerabilità zero-day in un browser quando possono semplicemente convincere un essere umano a bypassare ogni controllo di sicurezza sulla propria macchina. Dal punto di vista del rischio, ciò scavalca l'intero concetto di perimetro di rete.

La trappola psicologica del falso captcha

La campagna TerminalFix inizia con un sito web compromesso o un annuncio pubblicitario malevolo. Quando un utente atterra sulla pagina, vede un overlay realistico che imita un CAPTCHA di Cloudflare o una notifica di aggiornamento del browser. Questa è una scelta intelligente perché gli utenti sono condizionati a fidarsi di queste interfacce. Ci è stato detto per un decennio che i CAPTCHA sono il modo in cui dimostriamo di essere umani e sicuri. L'aggressore sovverte questa fiducia trasformando un rituale di sicurezza in un vettore di infezione.

Nella variante TerminalFix, l'utente viene istruito a eseguire una serie di passaggi manuali per "verificare" la propria identità o correggere un errore di rendering. Le istruzioni dicono all'utente di premere una specifica combinazione di tasti, come tasto Windows + R, o di aprire direttamente il Terminale di Windows. Mentre l'utente segue questi passaggi, il sito web copia silenziosamente un comando malevolo negli appunti del sistema. Quando l'utente incolla quella che pensa sia una chiave di verifica, sta in realtà incollando un one-liner di PowerShell che avvia un'infezione a più stadi.

Guardando il panorama delle minacce, questo metodo è straordinariamente efficace perché evita molti filtri tradizionali dei gateway e-mail. Non c'è alcun allegato malevolo da scansionare e nessun link sospetto in una casella di posta. L'interazione avviene interamente all'interno del browser e dell'ambiente locale dell'utente. Per progettazione, il comando è spesso offuscato o utilizza strumenti di sistema legittimi come "powershell.exe" o "msiexec.exe" per scaricare lo stadio successivo, rendendo difficile per i software antivirus di base segnalare l'esecuzione iniziale.

Passaggio da Esegui di Windows al terminale

Le precedenti campagne ClickFix spesso si affidavano alla finestra di dialogo Esegui di Windows per eseguire brevi comandi. Sebbene efficace per semplici stub di download, la finestra di dialogo Esegui ha un limite di caratteri che restringe la complessità dello script iniziale. TerminalFix punta invece al Terminale di Windows o a PowerShell. Questo cambiamento non è solo una preferenza estetica. Una finestra di terminale può accettare script multi-riga significativamente più lunghi che includono logica integrata per controlli ambientali e routine di anti-analisi.

I ricercatori di Microsoft sostengono che indirizzare gli utenti verso PowerShell aumenti la probabilità che script complessi vengano eseguiti con successo. Le versioni moderne di Windows aprono spesso il Terminale in una sessione PowerShell per impostazione predefinita, fornendo all'aggressore un potente ambiente di scripting pronto all'uso. Questa complessità consente all'aggressore di condurre una ricognizione iniziale prima che qualsiasi payload secondario raggiunga il disco. Lo script può verificare se la macchina è unita a un dominio, cercare software di sicurezza specifici o determinare se è in esecuzione all'interno di una macchina virtuale utilizzata dai ricercatori di malware.

Dietro le quinte, il comando PowerShell iniziale scarica un archivio ZIP. All'interno di questo archivio si trovano un eseguibile legittimo e una DLL malevola. L'aggressore utilizza una tecnica chiamata DLL sideloading. Quando il programma legittimo viene eseguito, cerca file di libreria specifici di cui ha bisogno per funzionare. L'aggressore posiziona un file malevolo con lo stesso nome nella stessa cartella. Il sistema carica il codice malevolo invece della libreria reale. Questo è un modo furtivo per nascondere l'attività malevola sotto il nome del processo di un'applicazione fidata.

Steganografia e l'impianto a tunnel inverso

La catena di attacco non si ferma alla semplice esecuzione di file. TerminalFix utilizza la steganografia per nascondere i suoi payload secondari all'interno di file immagine PNG apparentemente innocui. Questa è una misura reattiva contro l'ispezione del traffico basata sulla rete. Un firewall potrebbe bloccare il download diretto di un file eseguibile, ma è improbabile che segnali una serie di download di immagini da un dominio dall'aspetto legittimo. La DLL malevola estrae il codice nascosto da queste immagini e assembla il payload finale in memoria.

Uno dei componenti più pericolosi di questa campagna è l'impianto C2 a tunnel inverso basato su Python. Questo impianto stabilisce una connessione persistente con l'infrastruttura dell'aggressore utilizzando un canale WebSocket crittografato. Incanala il traffico TCP arbitrario attraverso questo canale. Parlando proattivamente, questo è un incubo per i soccorritori di incidenti. Posiziona effettivamente l'aggressore all'interno della rete interna come se fosse fisicamente collegato a una porta ethernet in ufficio.

In caso di violazione che coinvolga questo tunnel inverso, l'aggressore ha una linea di vista diretta sui controller di dominio dell'organizzazione, sulle condivisioni di file e sulle applicazioni interne. Possono bypassare molti controlli di sicurezza rivolti all'esterno perché il loro traffico ha origine da un host interno fidato. I ricercatori di Microsoft hanno osservato aggressori utilizzare questo accesso per elevare i privilegi ed esfiltrare dati sensibili. In alcuni casi, questo accesso porta direttamente alla distribuzione di ransomware in tutta l'impresa.

Dibattito sulla novità del nome TerminalFix

C'è un sano dibattito nella comunità della sicurezza sul fatto che TerminalFix sia una minaccia veramente distinta. Alcuni ricercatori, tra cui Tommy Madjar di Proofpoint, sostengono che l'uso delle finestre di terminale non sia un nuovo sviluppo. Sottolineano che le prime attività ClickFix dell'inizio del 2024 utilizzavano già le finestre di terminale per eseguire i payload. Da questo punto di vista, TerminalFix è solo un'altra iterazione di cluster consolidati come ClearFake o ErrTraffic.

Comunico con diversi analisti di threat intelligence via Signal che condividono questo scetticismo. Vedono queste campagne come una continua evoluzione di esche di ingegneria sociale piuttosto che come un insieme di minacce distinte e brandizzate. Sia che lo chiamiamo TerminalFix o una variante di ClearFake, la realtà tecnica rimane la stessa. Gli aggressori si stanno allontanando con successo dagli exploit automatizzati a favore della manipolazione del comportamento degli utenti. Questo spostamento ci impone di ripensare a come difendiamo l'endpoint.

A livello architettonico, il problema è che abbiamo costruito sistemi che forniscono un'enorme quantità di potere a un utente standard tramite la riga di comando. Mentre gli sviluppatori e gli amministratori di sistema hanno bisogno di questi strumenti, un tipico impiegato d'ufficio raramente ha bisogno di toccare PowerShell. La campagna TerminalFix sfrutta questo eccesso di capacità. Se un utente ha il potere di eseguire uno script che crea un tunnel di rete persistente, allora la sicurezza dell'intera organizzazione dipende dal fatto che quel singolo utente non venga ingannato.

Difesa pratica e il firewall umano

Difendersi da TerminalFix richiede una combinazione di restrizioni tecniche ed educazione degli utenti. A parte le patch, la contromisura tecnica più efficace è la restrizione di PowerShell e della finestra di dialogo Esegui di Windows per gli utenti che non ne hanno bisogno. Le organizzazioni possono utilizzare i Criteri di gruppo o AppLocker per creare una postura di "negazione per impostazione predefinita" per questi strumenti. Se il marketing manager del mio esempio precedente avesse provato ad aprire PowerShell e avesse ricevuto un messaggio "Questa azione è limitata dal tuo amministratore", l'attacco sarebbe fallito immediatamente.

Tuttavia, restrizioni ampie non sono sempre fattibili. Molti strumenti software moderni si affidano all'esecuzione da terminale per l'installazione e gli aggiornamenti. Come ha notato Tommy Madjar, anche strumenti di sviluppo legittimi come Claude Code suggeriscono metodi di installazione che comportano l'incollaggio di comandi in un terminale. Ciò crea un ambiente confuso per gli utenti. Viene detto loro di non incollare mai comandi da un sito web, ma poi i loro strumenti aziendali ufficiali chiedono loro di fare esattamente questo. Ecco perché l'educazione è la componente critica del firewall umano.

La formazione deve andare oltre il semplice consiglio "non cliccare". Gli utenti devono comprendere il concetto di fonte fidata e il pericolo specifico degli appunti. Raccomando alle organizzazioni di condurre simulazioni di phishing che imitino specificamente la tecnica ClickFix. Vedere quanto facilmente un falso CAPTCHA possa portare a un prompt del terminale è un'esperienza illuminante per la maggior parte dei dipendenti. Quando gli utenti comprendono il "come" dietro l'attacco, è più probabile che siano resilienti quando affrontano quello reale.

Dal punto di vista forense, i team di sicurezza dovrebbero monitorare le relazioni insolite tra processi padre e figlio. È raro che un browser web come Chrome o Edge sia il processo padre per una sessione PowerShell che poi genera un interprete Python attivo in rete. Questi segnali sono indicatori granulari di un'intrusione TerminalFix. Stabilire una baseline del normale utilizzo del terminale consente al SOC di identificare queste anomalie prima che l'aggressore possa muoversi lateralmente attraverso la rete.

Punti chiave per la sicurezza aziendale

• Controllare l'uso di PowerShell e Windows Terminal in tutta l'organizzazione e limitare l'accesso per gli utenti standard tramite GPO o AppLocker.
• Monitorare gli indicatori di DLL sideloading, in particolare gli eseguibili legittimi eseguiti da directory insolite o che caricano DLL non firmate.
• Implementare il monitoraggio della rete per rilevare traffico WebSocket persistente e ad alto volume verso IP esterni sconosciuti, che potrebbe indicare un tunnel inverso.
• Aggiornare la formazione sulla consapevolezza della sicurezza per includere esche in stile "ClickFix" e i pericoli dell'incollaggio di comandi dagli appunti nelle finestre del terminale.
• Valutare l'uso di soluzioni di controllo delle applicazioni in grado di impedire l'esecuzione di script non autorizzati anche se incollati in una shell legittima.

Fonti: Microsoft Threat Intelligence, MITRE ATT&CK (Tecniche T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

Questo articolo è solo a scopo informativo ed educativo e non sostituisce un audit di sicurezza informatica professionale o un servizio di risposta agli incidenti.