Pozor na tento nový podvod „Nie som robot“, na ktorý môžeš natrafiť na internete. Hackerom ním otvoríš dvere do počítača
Falošná CAPTCHA napodobňujúca Cloudflare môže používateľa prinútiť vložiť škodlivý príkaz do Windows Terminalu. Microsoft varuje pred útokom TerminalFix, ktorý môže hackerom otvoriť cestu do firemnej siete.
Falošná CAPTCHA od Cloudflare môže vyzerať ako obyčajné overenie, že nie si robot. Bezpečnostní výskumníci však upozorňujú na nový útok, pri ktorom práve takáto stránka presvedčí používateľa, aby do Windows Terminalu vložil škodlivý príkaz.
Microsoft tento útok označuje ako TerminalFix a podľa jeho bezpečnostných výskumníkov ide o variant známej techniky ClickFix. Útočníci pri nej zneužívajú dôveru používateľov v bežné bezpečnostné overenia. Tentoraz však namiesto klasického okna Spustiť používateľa nasmerujú priamo do Windows Terminalu alebo PowerShellu. A to útočníkom umožní spustiť podstatne zložitejší reťazec príkazov.
Všetko sa začína falošnou CAPTCHA
Útok sa začne na napadnutej webovej stránke. Namiesto pôvodného obsahu sa používateľovi zobrazí okno, ktoré sa podobá na Cloudflare Turnstile. Nechýba logo Cloudflare, výzva na potvrdenie, že človek nie je robot, ani animácia napodobňujúca skutočné overenie. Používateľ tak môže nadobudnúť dojem, že ide o bežnú ochranu stránky.
Po kliknutí však stránka skopíruje škodlivý PowerShell príkaz do schránky. Následne návštevníka vyzve, aby otvoril Windows Terminal alebo PowerShell a príkaz tam vložil. Práve tento krok predstavuje hlavný trik celého útoku. Používateľ totiž škodlivý príkaz nespustí automaticky. Spustenie sám potvrdí, pretože verí, že iba dokončuje bezpečnostné overenie. Terminál navyše zobrazí falošné správy, ktoré napodobňujú proces overovania Cloudflare. Útočníci tak vytvárajú dojem, že sa v počítači deje niečo úplne legitímne.
Microsoft upozorňuje, že ide o výraznú zmenu oproti starším útokom ClickFix.
Neprehliadni
Do počítača sa dostane legitímny program aj škodlivá knižnica
Po spustení príkazu PowerShell stiahne ZIP archív a rozbalí ho do priečinka v C:\ProgramData. Následne spustí dávkový súbor, ktorý pripraví ďalšiu fázu útoku.
V archíve sa nachádza legitímny podpísaný súbor LockScreenContentServer.exe a škodlivá knižnica dui70.dll. Samotný EXE súbor preto nemusí na prvý pohľad vyzerať podozrivo. Útočníci však zneužili spôsob, akým Windows hľadá potrebné DLL knižnice. Ak sa škodlivá knižnica nachádza na mieste, odkiaľ ju program očakáva, systém ju môže načítať namiesto skutočnej knižnice. Bezpečnostní experti túto techniku označujú ako DLL sideloading.
Útočník tak dokáže spustiť škodlivý kód prostredníctvom programu, ktorý má platný digitálny podpis a vyzerá dôveryhodne.
Škodlivá dui70.dll navyše ukrýva ďalší kód vo svojej vlastnej dátovej časti. Po načítaní ho rozbalí priamo v pamäti a pokračuje v útoku.
Ďalšie súbory ukryjú dokonca do obrázkov
V ďalšej fáze prichádza ešte menej nápadná technika. Malvér stiahne z útočníkových serverov niekoľko PNG obrázkov. Na prvý pohľad ide o obyčajné obrázky, no v ich obrazových dátach sa nachádza ukrytý škodlivý obsah. Túto techniku poznáme ako steganografiu. Útočník pri nej ukryje dáta do iného súboru tak, aby na prvý pohľad nebolo jasné, že sa v ňom nachádza niečo ďalšie. V tomto prípade škodlivý PowerShell skript prečíta hodnoty jednotlivých pixelov a z nich poskladá ukrytý binárny súbor. Útočníci navyše rozdelili jednu DLL knižnicu medzi dva obrázky. Až po ich stiahnutí malvér jednotlivé časti spojí. Po extrakcii obrázky odstráni.
Takýto postup môže sťažiť klasickú kontrolu súborov a zároveň znižuje množstvo stôp, ktoré po útoku zostanú v počítači.
Útočníci si zabezpečia návrat do počítača
TerminalFix sa nespolieha iba na jednorazové spustenie škodlivého kódu. Útočníci si vytvoria hneď dva spôsoby, ktoré zabezpečia jeho opätovné spustenie. Prvý využíva položku v registri Windows, ktorá dokáže automaticky spustiť program po prihlásení používateľa. Druhý vytvorí naplánovanú úlohu, ktorá malvér spustí každých 60 minút. Útočníci zároveň priečinok s malvérom označia ako skrytý a systémový. Bežný používateľ tak nemusí na prvý pohľad vidieť, čo sa v počítači nachádza.
Po získaní trvalého prístupu nasleduje fáza, ktorá môže byť pre napadnutú organizáciu ešte dôležitejšia. Malvér začne zisťovať informácie o počítači a jeho okolí. Skontroluje napríklad, či je zariadenie súčasťou firemnej domény, vyhľadá používateľov a počítače v Active Directory a pokúsi sa nájsť účty s administrátorskými právami. Zisťuje tiež vzťahy medzi doménami a skúša komunikáciu s vybranými servermi.
Microsoft uvádza, že medzi hľadanou infraštruktúrou sa nachádzali napríklad doménové radiče, databázové servery, zálohovacie systémy, brány či poštové servery. Takéto informácie môžu útočníkovi ukázať, či sa dostal do zaujímavého počítača a kam by mohol pokračovať ďalej.
„Organizácie by mali napadnuté zariadenia považovať za potenciálne body, cez ktoré môže útočník preniknúť ďalej do siete,“ upozorňuje Microsoft.
Najzaujímavejšou časťou útoku je vlastný nástroj na vytvorenie spätného tunela. Útočníci do počítača stiahnu Python a vlastný program client.py. Ten vytvorí šifrované spojenie so serverom útočníkov cez port 443, ktorý bežne využíva HTTPS. Komunikácia následne prebieha cez WebSocket. Pre používateľa je dôležité najmä to, čo takýto tunel umožní. Napadnutý počítač môže fungovať ako prostredník medzi útočníkom a vnútornou sieťou organizácie.
Útočník teda nemusí zostať iba pri počítači, ktorý pôvodne napadol. Cez vytvorený tunel môže podľa možností siete skúšať komunikovať s ďalšími zariadeniami a službami dostupnými z napadnutého počítača.
Microsoft túto schopnosť prirovnáva k SOCKS proxy. Zjednodušene povedané, napadnutý počítač môže pre útočníka fungovať ako vstupná brána do internej siete.
„Táto schopnosť v kombinácii s vykonaným prieskumom mení napadnutý počítač na plnohodnotný bod pre presun v rámci siete,“ uvádzajú bezpečnostní výskumníci Microsoftu.
Samotný Microsoft pritom zdôrazňuje dôležitú vec, pri analyzovanom útoku nepozoroval následné aktivity, ako napríklad krádež dát, vypnutie bezpečnostných nástrojov alebo nasadenie ransomvéru. Schopnosti útoku však podľa výskumníkov vytvárajú priestor na takéto ďalšie kroky.
Ako sa môžeš podobnému útoku vyhnúť?
Najdôležitejšie pravidlo je pritom pomerne jednoduché, webová stránka od teba nemá požadovať, aby si kvôli CAPTCHA overeniu otváral PowerShell alebo Windows Terminal a vkladal doň príkaz.
Ak ťa stránka vyzve na otvorenie terminálu a vloženie textu, ide o veľmi silný varovný signál.
Microsoft zároveň odporúča firmám obmedziť používanie PowerShellu pre bežných používateľov, zapnúť jeho podrobné zaznamenávanie a sledovať neobvyklé spúšťanie systémových programov. Pomôcť môžu aj bezpečnostné funkcie v Microsoft Defenderi a nastavenia Windows Terminalu, ktoré upozornia používateľa pri vložení viacriadkového textu.
Výskumníci zároveň odporúčajú dôkladne preveriť každý počítač, na ktorom sa podobná aktivita objaví. Ak útočník vytvoril spätný tunel, kompromitované zariadenie totiž nemusí predstavovať iba problém jedného používateľa. Môže slúžiť aj ako cesta k ďalším systémom v internej sieti.
