Kodėl jūsų vartotojai įklijuoja kenkėjišką programinę įrangą tiesiai į „PowerShell“

Vidutinio dydžio įmonės marketingo vadovui antradienis yra erzinantis. Svarbaus susitikimo su klientu „Zoom“ nuoroda tinkamai nepasileidžia, naršyklėje rodoma klaida apie trūkstamą kodeką. Pasirodo naudingas iššokantis langas su mygtuku „Fix“ (taisyti). Jis paprašo vadovo nukopijuoti kodo eilutę, atidaryti „PowerShell“ ir įklijuoti komandą, kad problema būtų išspręsta. Per kelias sekundes vadovas grįžta į susitikimą, net nesuvokdamas, kad ką tik pakvietė grėsmės sukėlėją į vidinį įmonės tinklą. Tai yra „ClickFix“ socialinės inžinerijos taktikos esmė, o naujausia jos evoliucija yra kampanija, kurią „Microsoft“ vadina „TerminalFix“.

Neseniai savo laboratorijoje analizavau šios kampanijos pavyzdį. Kenkėjiškos programinės įrangos techninis sudėtingumas yra vertas dėmesio, tačiau psichologinis manipuliavimas yra tikrasis atakos variklis. Užpuolikai perėjo nuo techninių išnaudojimų prie to, ką aš vadinu „žmogaus padedamu vykdymu“. Jiems nebereikia ieškoti nulinės dienos pažeidžiamumo naršyklėje, kai jie gali tiesiog įtikinti žmogų savarankiškai apeiti visas saugumo kontrolės priemones savo kompiuteryje. Žiūrint iš rizikos perspektyvos, tai apeina visą tinklo perimetro koncepciją.

Psichologiniai netikros „captcha“ spąstai

„TerminalFix“ kampanija prasideda nuo nulaužtos svetainės arba kenkėjiškos reklamos. Vartotojui patekus į puslapį, jis pamato tikrovišką perdangą, kuri imituoja „Cloudflare CAPTCHA“ arba naršyklės atnaujinimo pranešimą. Tai gudrus pasirinkimas, nes vartotojai yra išmokyti pasitikėti šiomis sąsajomis. Dešimtmetį mums buvo sakoma, kad CAPTCHA yra būdas įrodyti, jog esame žmonės ir esame saugūs. Užpuolikas piktnaudžiauja šiuo pasitikėjimu, paversdamas saugumo ritualą infekcijos vektoriumi.

„TerminalFix“ variante vartotojui nurodoma atlikti tam tikrus rankinius veiksmus, kad „patvirtintų“ savo tapatybę arba ištaisytų atvaizdavimo klaidą. Instrukcijose vartotojui liepiama paspausti tam tikrą klavišų kombinaciją, pavyzdžiui, „Windows“ klavišas + R, arba tiesiogiai atidaryti „Windows Terminal“. Kol vartotojas atlieka šiuos veiksmus, svetainė tyliai nukopijuoja kenkėjišką komandą į sistemos iškarpinę (clipboard). Kai vartotojas įklijuoja tai, ką jis laiko patvirtinimo raktu, jis iš tikrųjų įklijuoja „PowerShell“ vienos eilutės komandą, kuri pradeda daugiapakopę infekciją.

Žvelgiant į grėsmių aplinką, šis metodas yra nepaprastai efektyvus, nes jis išvengia daugelio tradicinių el. pašto vartų filtrų. Nėra kenkėjiško priedo, kurį reikėtų nuskaityti, ir jokios įtartinos nuorodos gautų laiškų dėžutėje. Sąveika vyksta visiškai naršyklėje ir vartotojo vietinėje aplinkoje. Pagal sumanymą komanda dažnai būna užmaskuota arba naudoja teisėtus sistemos įrankius, tokius kaip „powershell.exe“ arba „msiexec.exe“, kad atsisiųstų kitą etapą, todėl pagrindinei antivirusinei programinei įrangai sunku užfiksuoti pradinį vykdymą.

Perėjimas nuo „Windows Run“ prie terminalo

Ankstesnės „ClickFix“ kampanijos dažnai rėmėsi „Windows Run“ dialogu, kad įvykdytų trumpas komandas. Nors tai efektyvu paprastiems atsisiuntimo moduliams, „Run“ dialogas turi simbolių apribojimą, kuris riboja pradinio skripto sudėtingumą. Vietoj to „TerminalFix“ taikosi į „Windows Terminal“ arba „PowerShell“. Šis pakeitimas nėra tik kosmetinis pasirinkimas. Terminalo langas gali priimti žymiai ilgesnius, kelių eilučių skriptus, kuriuose yra įdiegta logika aplinkos patikrai ir anti-analizės procedūros.

„Microsoft“ tyrėjai teigia, kad vartotojų nukreipimas į „PowerShell“ padidina tikimybę, jog sudėtingi skriptai bus sėkmingai įvykdyti. Šiuolaikinės „Windows“ versijos pagal numatytuosius nustatymus dažnai atidaro „Terminal“ į „PowerShell“ sesiją, suteikdamos užpuolikui galingą skriptų rašymo aplinką iš karto. Šis sudėtingumas leidžia užpuolikui atlikti pradinę žvalgybą dar prieš bet kokiems antriniams kroviniams pasiekiant diską. Skriptas gali patikrinti, ar kompiuteris prijungtas prie domeno, ieškoti specifinės saugumo programinės įrangos arba nustatyti, ar jis veikia virtualioje mašinoje, kurią naudoja kenkėjiškų programų tyrėjai.

Užkulisiuose pradinė „PowerShell“ komanda atsisiunčia ZIP archyvą. Šio archyvo viduje yra teisėtas vykdomasis failas ir kenkėjiška DLL. Užpuolikas naudoja techniką, vadinamą DLL šoniniu įkėlimu (sideloading). Kai veikia teisėta programa, ji ieško specifinių bibliotekų failų, kurių jai reikia funkcionavimui. Užpuolikas į tą patį aplanką įdeda kenkėjišką failą tokiu pačiu pavadinimu. Sistema vietoj tikrosios bibliotekos įkelia kenkėjišką kodą. Tai slaptas būdas paslėpti kenkėjišką veiklą po patikimos programos proceso pavadinimu.

Steganografija ir atvirkštinio tunelio implantas

Atakos grandinė nesustoja ties paprastu failo vykdymu. „TerminalFix“ naudoja steganografiją, kad paslėptų savo antrinius krovinius iš pažiūros nekenksminguose PNG vaizdo failuose. Tai reaktyvi priemonė prieš tinklo srauto tikrinimą. Ugniasienė gali užblokuoti tiesioginį vykdomojo failo atsisiuntimą, tačiau mažai tikėtina, kad ji užfiksuos vaizdų atsisiuntimų seriją iš teisėtai atrodančio domeno. Kenkėjiška DLL ištraukia paslėptą kodą iš šių vaizdų ir atmintyje surenka galutinį krovinį.

Vienas pavojingiausių šios kampanijos komponentų yra „Python“ pagrindu sukurtas atvirkštinio tunelio C2 implantas. Šis implantas užmezga nuolatinį ryšį su užpuoliko infrastruktūra, naudodamas užšifruotą „WebSocket“ kanalą. Per šį kanalą jis nukreipia bet kokį TCP srautą. Proaktyviai kalbant, tai yra košmaras incidentų tyrimo specialistams. Tai faktiškai patalpina užpuoliką vidiniame tinkle taip, tarsi jis būtų fiziškai prijungtas prie eterneto prievado biure.

Įvykus įsilaužimui, susijusiam su šiuo atvirkštiniu tuneliu, užpuolikas turi tiesioginį matomumą į organizacijos domenų valdiklius, failų bendrinimo vietas ir vidines programas. Jie gali apeiti daugelį išorinių saugumo kontrolės priemonių, nes jų srautas kyla iš patikimo vidinio kompiuterio. „Microsoft“ tyrėjai pastebėjo, kad užpuolikai naudojasi šia prieiga teisių padidinimui ir jautrių duomenų eksfiltravimui. Kai kuriais atvejais ši prieiga tiesiogiai veda prie išpirkos reikalaujančios programinės įrangos (ransomware) diegimo visoje įmonėje.

Diskusijos dėl „TerminalFix“ pavadinimo naujumo

Saugumo bendruomenėje vyksta sveikos diskusijos apie tai, ar „TerminalFix“ yra tikrai atskira grėsmė. Kai kurie tyrėjai, įskaitant Tommy Madjar iš „Proofpoint“, teigia, kad terminalo langų naudojimas nėra naujas reiškinys. Jie nurodo, kad ankstyviausia „ClickFix“ veikla nuo 2024 m. pradžios jau naudojo terminalo langus krovinių vykdymui. Žvelgiant iš šio taško, „TerminalFix“ yra tik dar viena nusistovėjusių grupių, tokių kaip „ClearFake“ ar „ErrTraffic“, iteracija.

Bendrauju su keliais grėsmių žvalgybos analitikais per „Signal“, kurie dalijasi šiuo skepticizmu. Jie mato šias kampanijas kaip nuolatinę socialinės inžinerijos jaukų evoliuciją, o ne kaip atskirų, prekės ženklu pažymėtų grėsmių rinkinį. Nesvarbu, ar vadinsime tai „TerminalFix“, ar „ClearFake“ variantu, techninė realybė išlieka ta pati. Užpuolikai sėkmingai tolsta nuo automatizuotų išnaudojimų ir renkasi manipuliavimą vartotojų elgesiu. Šis pokytis reikalauja, kad mes iš naujo apgalvotume, kaip giname galinius įrenginius.

Architektūriniu lygmeniu problema yra ta, kad sukūrėme sistemas, kurios paprastam vartotojui suteikia didžiulę galią per komandinę eilutę. Nors programuotojams ir sistemų administratoriams šie įrankiai reikalingi, tipiškam biuro darbuotojui retai reikia liestis prie „PowerShell“. „TerminalFix“ kampanija naudojasi šiuo pertekliniu galimybių suteikimu. Jei vartotojas turi galią paleisti skriptą, kuris sukuria nuolatinį tinklo tunelį, tada visos organizacijos saugumas priklauso nuo to, ar tas vienintelis vartotojas nebus apgautas.

Praktinė gynyba ir žmogiškoji užkarda

Gynyba nuo „TerminalFix“ reikalauja techninių apribojimų ir vartotojų švietimo derinio. Atmetus pleistrų diegimą, efektyviausia techninė atsakomoji priemonė yra „PowerShell“ ir „Windows Run“ dialogo apribojimas vartotojams, kuriems jie nėra būtini. Organizacijos gali naudoti grupių politiką (Group Policy) arba „AppLocker“, kad sukurtų „draudimo pagal numatytuosius nustatymus“ poziciją šiems įrankiams. Jei marketingo vadovas iš mano ankstesnio pavyzdžio būtų bandęs atidaryti „PowerShell“ ir gavęs pranešimą „Šį veiksmą apribojo jūsų administratorius“, ataka būtų iškart žlugusi.

Tačiau platūs apribojimai ne visada yra įmanomi. Daugelis šiuolaikinių programinės įrangos įrankių remiasi vykdymu terminale diegimui ir atnaujinimams. Kaip pažymėjo Tommy Madjar, net teisėti programuotojų įrankiai, tokie kaip „Claude Code“, siūlo diegimo metodus, apimančius komandų įklijavimą į terminalą. Tai sukuria painią aplinką vartotojams. Jiems sakoma niekada neįklijuoti komandų iš svetainės, tačiau tada jų oficialūs įmonės įrankiai prašo daryti būtent tai. Štai kodėl švietimas yra kritiškai svarbus žmogiškosios užkardos komponentas.

Mokymai turi apimti daugiau nei paprastą patarimą „nespausti“. Vartotojai turi suprasti patikimo šaltinio koncepciją ir specifinį iškarpinės pavojų. Rekomenduoju organizacijoms vykdyti fišingo simuliacijas, kurios konkrečiai imituoja „ClickFix“ techniką. Pamatyti, kaip lengvai netikra CAPTCHA gali nuvesti prie terminalo raginimo, daugumai darbuotojų yra akis atverianti patirtis. Kai vartotojai supranta atakos „kaip“, jie labiau linkę būti atsparūs susidūrę su tikra grėsme.

Žiūrint iš teismo ekspertizės perspektyvos, saugumo komandos turėtų stebėti neįprastus tėvinio ir vaikinio proceso santykius. Retai pasitaiko, kad interneto naršyklė, tokia kaip „Chrome“ ar „Edge“, būtų „PowerShell“ sesijos tėvinis procesas, kuris vėliau sukuria tinklo atžvilgiu aktyvų „Python“ interpretatorių. Šie signalai yra detalūs „TerminalFix“ įsibrovimo indikatoriai. Nustačius normalaus terminalo naudojimo bazinį lygį, saugumo operacijų centras (SOC) gali nustatyti šias anomalijas dar prieš užpuolikui pradedant judėti horizontaliai per tinklą.

Pagrindinės įžvalgos įmonių saugumui

• Audituokite „PowerShell“ ir „Windows Terminal“ naudojimą visoje organizacijoje ir apribokite prieigą standartiniams vartotojams per GPO arba „AppLocker“.
• Stebėkite DLL šoninio įkėlimo indikatorius, ypač teisėtus vykdomuosius failus, veikiančius iš neįprastų katalogų arba įkeliančius nepasirašytas DLL.
• Įdiekite tinklo stebėjimą, kad aptiktumėte nuolatinį, didelio tūrio „WebSocket“ srautą į nežinomus išorinius IP adresus, kuris gali rodyti atvirkštinį tunelį.
• Atnaujinkite saugumo informuotumo mokymus, įtraukdami „ClickFix“ stiliaus jaukus ir pavojus, kylančius įklijuojant komandas iš iškarpinės į terminalo langus.
• Įvertinkite programų kontrolės sprendimus, kurie gali neleisti vykdyti neautorizuotų skriptų, net jei jie įklijuojami į teisėtą apvalkalą (shell).

Šaltiniai: Microsoft Threat Intelligence, MITRE ATT&CK (Techniques T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

Šis straipsnis yra skirtas tik informaciniams ir švietimo tikslams ir nepakeičia profesionalaus kibernetinio saugumo audito ar incidentų tyrimo paslaugų.