Microsoft hat Details zu einem Windows Malware-Kampagne namens TerminalFix.
Die Social-Engineering-Methode, mit der Nutzer infiziert werden, ähnelt stark den Methoden, die wir bei ClickFix -Kampagnen beobachtet haben. Einem Website-Besucher wird ein gefälschtes Cloudflare-CAPTCHA präsentiert, das beim Anklicken heimlich einen schädlichen Befehl in seine Zwischenablage kopiert.
Dann erhalten sie Anweisungen, was sie tun müssen, um „zu beweisen, dass sie Menschen sind“, während sie in Wirklichkeit angewiesen werden, den bösartigen Befehl auszuführen.
Nachdem die Schadsoftware Fuß gefasst hat, lädt sie scheinbar gewöhnliche PNG-Bilder von Webseiten herunter, die vom Angreifer kontrolliert werden. Diese Bilder enthalten jedoch versteckte Schadsoftware. Ein PowerShell-Skript liest die Pixeldaten der Bilder aus: Die ersten acht Bytes geben die Länge der eingebetteten Datei an, während die restlichen Daten zu einer ausführbaren Datei und zwei DLL-Fragmenten rekonstruiert und auf der Festplatte des Opfers zusammengefügt werden.
Die Verwendung von Steganografie ist zwar bemerkenswert, unterscheidet TerminalFix aber nicht von anderen ClickFix-Kampagnen , die dieselbe Methode verwendet haben.
TerminalFix unterscheidet sich durch seine Schadsoftware. Opfer von ClickFix hingegen erhalten in der Regel Malware zum Datendiebstahl.
TerminalFix kombiniert stattdessen mehrere ausgereifte Verschleierungstechniken, darunter DLL-Sideloading, steganografische Übermittlung, Ordnerversteckung, realistische Browser-User-Agent-Rotation und verschlüsselter WebSocket-Verkehr, anstatt sich auf einen verschleierten PowerShell-Downloader zu verlassen. Auch das Endziel ist ein anderes.
Die Kampagne liefert eine Payload-Kette, die eine domänenspezifische Aufklärung durchführt, bevor ein benutzerdefinierter, gemultiplexter Reverse-TCP-Tunnel installiert wird.
Diese versteckte Verbindung ermöglicht Angreifern den Zugriff auf das Netzwerk des Opfers. Der infizierte Computer kontaktiert die Angreifer zunächst über verschlüsselten, webähnlichen Datenverkehr über Port 443, wodurch die „umgekehrte“ Verbindung leichter die Firewall des Unternehmens passieren kann.
Auf diese Weise schafft das kompromittierte System einen geheimen Fernzugriff innerhalb des Netzwerks. „Multiplexing“ bedeutet, dass die Angreifer gleichzeitig mehrere separate Verbindungen, beispielsweise zu einem Dateiserver, einer Datenbank oder einer anderen Workstation, über diesen einen verschlüsselten Tunnel herstellen können. Dadurch können sie den Computer des Opfers als Einfallstor in das restliche Netzwerk nutzen.
Wie man sicher bleibt
Denken Sie zunächst daran, dass ein echtes CAPTCHA Sie möglicherweise auffordert, Kästchen anzuklicken oder Bilder auszuwählen, aber es wird Sie nicht auffordern, Run, Terminal, die Eingabeaufforderung oder PowerShell zu öffnen und einen Befehl einzufügen.
- Lassen Sie sich Zeit. Folgen Sie Anweisungen auf Webseiten oder Eingabeaufforderungen nicht übereilt, insbesondere wenn Sie aufgefordert werden, Befehle auf Ihrem Gerät auszuführen oder Code zu kopieren und einzufügen. Angreifer nutzen Dringlichkeit aus, um sorgfältiges Nachdenken zu verhindern. Seien Sie daher vorsichtig bei Seiten, die zu sofortigem Handeln auffordern. Raffinierte ClickFix-Seiten verwenden möglicherweise Countdowns, Benutzerzähler oder andere Druckmittel, um Sie zu schnellem Handeln zu bewegen.
- Führen Sie keine Befehle oder Skripte aus unbekannten Quellen aus. Führen Sie niemals Code oder Befehle aus, die von Webseiten, E-Mails oder Nachrichten kopiert wurden, es sei denn, Sie vertrauen der Quelle und verstehen genau, was der Befehl bewirkt.
- Überprüfen Sie Anweisungen selbstständig. WennSie auf einer Website aufgefordert werden, einen Befehl auszuführen oder eine technische Maßnahme zu ergreifen, sollten Sie dies anhand der offiziellen Dokumentation überprüfen oder den Support kontaktieren, bevor Sie fortfahren.
- Beschränken Sie die Verwendung von Kopieren und Einfügen für Befehle. Das manuelle Eintippen von Befehlen anstatt des Kopierens und Einfügens kann das Risiko verringern, dass unwissentlich Schadcode ausgeführt wird, der im kopierten Text versteckt ist.
- Sichern Sie Ihre Geräte. Verwenden Sieeine aktuelle Echtzeit-Anti-Malware-Lösungmit einer Webschutzkomponente.
- Lernen Sie, sich ständig weiterentwickelnde Angriffstechniken zu erkennen. Zu wissen, dass Angreifer ihre Methoden fortlaufend ändern, hilft Ihnen dabei, verdächtige Anweisungen zu erkennen. Lesen Sie weiter in unserem Blog!
Profi-Tipp:Wussten Sie, dass die kostenlose Malwarebytes Browser Guard Sie warnt, wenn eine Website versucht, etwas in Ihre Zwischenablage zu kopieren?
Manche Browser schränken bestimmte Verwendungen der Zwischenablage ein oder warnen davor. Seit macOS Tahoe 26.4 kann das Terminal Benutzer warnen, wenn sie Text einfügen, der aus einem Browser oder einer Messaging-App kopiert wurde. Dieser Schutz greift auf App- und Betriebssystemebene und nicht im Browser selbst.
Beugen Sie Bedrohungen vor, bevor sie Schaden anrichten können.
Malwarebytes Browser Guard Phishing-Seiten und bösartige Websites automatisch. Kostenlos und mit nur einem Klick zu installieren. Zu Ihrem Browser hinzufügen →
