Microsoft vient de documenter une nouvelle évolution de ClickFix, capable de maintenir un accès sur un poste compromis et de fournir aux attaquants un point de passage vers le réseau interne de l’entreprise.
Un CAPTCHA qui vous demande d’ouvrir PowerShell n’a évidemment rien d’un CAPTCHA. C’est pourtant le leurre utilisé par TerminalFix, une variante de ClickFix repérée par Microsoft dans une campagne visant plusieurs secteurs d’activité. Une fois la commande exécutée, les attaquants installent un accès persistant sur le PC compromis et déploient un tunnel qui leur permet de poursuivre l’intrusion dans le réseau interne de l’entreprise.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Une chaîne d’attaque particulièrement élaborée
D’après les équipes de sécurité de Microsoft, les attaquants auraient compromis plusieurs sites pour y injecter de fausses interfaces de vérification Cloudflare, incitant les victimes à copier une commande puis à la coller dans Windows Terminal ou PowerShell. Un choix qui permet aux cybercriminels de faire exécuter des scripts plus longs et plus élaborés qu’en passant par la boîte Exécuter de Windows, souvent privilégiée dans les campagnes ClickFix.
Dans le détail, la commande récupère d’abord une archive contenant un programme Microsoft légitime et une DLL malveillante. Les attaquants s’appuient alors sur le DLL sideloading pour faire charger la bibliothèque piégée par l’exécutable, à la place du fichier attendu.
Le code malveillant peut ensuite poursuivre l’infection, récupérer d’autres composants cachés dans des images PNG et assurer sa persistance après un redémarrage. Il explore aussi l’environnement de l’entreprise pour repérer les comptes Active Directory, les administrateurs du domaine et les serveurs accessibles, avant d’établir un tunnel chiffré vers un serveur contrôlé par les attaquants.
Microsoft précise n’avoir observé ni mouvement latéral, ni vol de données, ni déploiement de rançongiciel dans la campagne analysée. Cet accès pourrait néanmoins permettre aux attaquants de poursuivre leur progression dans le réseau, d’exfiltrer des données, de neutraliser des protections ou, à terme, de déployer un ransomware.
Comment se protéger d’une attaque TerminalFix
La règle la plus importante est aussi la plus simple : si un site vous demande d’ouvrir PowerShell, Windows Terminal ou la boîte Exécuter pour valider un CAPTCHA, ce n’est pas bon signe. Une vérification légitime n’a aucune raison de vous faire copier puis exécuter une commande sur votre PC.
Dans les entreprises, Microsoft recommande aussi de restreindre l’accès à PowerShell et à la boîte Exécuter pour les comptes qui n’en ont pas besoin, à l’aide d’AppLocker, d’Application Control for Windows ou des stratégies de groupe. La journalisation des scripts PowerShell peut également aider les équipes de sécurité à repérer des commandes suspectes, tout comme la surveillance des tentatives de DLL sideloading.
Si la commande malveillante a déjà été exécutée, considérez la machine comme compromise et partez du principe que les attaquants ont pu accéder au réseau interne depuis ce poste. Il faudra alors rechercher d’éventuels mouvements latéraux et renouveler en priorité les identifiants auxquels la machine infectée pouvait avoir accès, notamment ceux des comptes administrateurs.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.