TerminalFix : de faux CAPTCHA conduisent à l’installation d’un tunnel inverse

Microsoft Threat Intelligence indique avoir observé une campagne TerminalFix visant des organisations de plusieurs secteurs. Depuis un site web compromis, une fausse interface de vérification imitant Cloudflare demande à l’utilisateur de copier puis d’exécuter une commande dans Windows Terminal ou PowerShell.

Cette commande déclenche une chaîne en plusieurs étapes comprenant le téléchargement de fichiers, le chargement détourné d’une DLL, l’extraction de charges dissimulées dans des images PNG, la mise en place de mécanismes de persistance et la reconnaissance d’un environnement Active Directory. Un implant Python établit finalement un tunnel inverse chiffré permettant de faire transiter du trafic TCP par le poste.

Selon la source, cet accès pourrait servir de point de passage vers d’autres systèmes internes. Microsoft précise toutefois ne pas avoir observé, dans la chaîne analysée, les actions ultérieures telles que l’élévation de privilèges, l’exfiltration de données ou le déploiement d’un rançongiciel.

Pourquoi c’est important pour une TPE/PME

Une simple manipulation de l’utilisateur peut transformer un poste Windows en point d’accès potentiel au réseau interne. Si l’entreprise utilise Active Directory, l’attaquant pourrait également collecter des informations sur le domaine et tenter d’atteindre d’autres systèmes. Tout poste sur lequel la fausse vérification a été exécutée doit donc faire l’objet d’une investigation rapide, sans conclure automatiquement à une propagation ou à un vol de données.

Entreprises potentiellement concernées

• Organisations dont les collaborateurs utilisent des postes Windows avec Windows Terminal ou PowerShell
• Entreprises exploitant un environnement Active Directory
• Organisations dont des utilisateurs ont suivi une fausse procédure CAPTCHA demandant d’exécuter une commande

Niveau de vigilance SERVIPRA

Ce qu’il faut vérifier

• Sensibiliser les utilisateurs au fait qu’une vérification CAPTCHA ne doit pas les conduire à copier une commande dans Windows Terminal ou PowerShell.
• Demander aux utilisateurs de signaler immédiatement toute page ayant présenté ce type d’instruction.
• Identifier les postes sur lesquels une commande associée à cette fausse vérification aurait été exécutée.
• Traiter les postes identifiés comme des points de passage réseau potentiels et rechercher d’éventuels mouvements latéraux ou une exposition d’identifiants.
• Consulter la publication complète de Microsoft pour obtenir les indicateurs de compromission, les éléments de détection et les recommandations de recherche associés à cette campagne.

Recommandation SERVIPRA

Si un utilisateur a exécuté cette fausse vérification, faire analyser rapidement le poste et son environnement réseau en s’appuyant sur les indicateurs de la publication Microsoft complète.