Microsoft ha detectado una campaña de ciberataques denominada TerminalFix que utiliza falsas verificaciones CAPTCHA de Cloudflare para conseguir que los usuarios ejecuten comandos maliciosos de PowerShell en sus propios equipos. El ataque, dirigido contra organizaciones de múltiples sectores, termina desplegando un túnel inverso que puede convertir el dispositivo comprometido en una puerta de entrada hacia otros sistemas de la red corporativa.
TerminalFix es una variante de la técnica conocida como ClickFix, basada en mostrar instrucciones aparentemente legítimas que llevan a la propia víctima a ejecutar el código necesario para iniciar la infección. La diferencia es que, mientras las campañas tradicionales suelen pedir al usuario que abra la ventana Ejecutar de Windows, TerminalFix dirige a las víctimas hacia Windows Terminal o PowerShell, facilitando la ejecución de scripts más complejos y de varias líneas.
El resultado es una cadena de ataque considerablemente más sofisticada que la habitual en este tipo de campañas. Microsoft ha observado técnicas de DLL sideloading, cargas maliciosas ocultas dentro de imágenes, mecanismos de persistencia, reconocimiento de Active Directory y, finalmente, el despliegue de un implante basado en Python que proporciona acceso a la red mediante un túnel inverso.
El ataque comienza con un falso CAPTCHA de Cloudflare
La infección arranca cuando la víctima accede a una página web previamente comprometida. Durante unos instantes aparece el contenido original del sitio, pero posteriormente es sustituido por una falsa pantalla de Cloudflare Turnstile que reproduce elementos como el logotipo de la compañía, la casilla “Verify you are human” y una animación de carga.
Cuando el usuario interactúa con esta falsa verificación, el sitio copia silenciosamente un comando malicioso de PowerShell en el portapapeles. A continuación, las instrucciones indican que debe abrir Windows Terminal o PowerShell y pegarlo para completar supuestamente la comprobación.
El comando muestra mensajes relacionados con Cloudflare para mantener el engaño mientras descarga un archivo ZIP desde la infraestructura de los atacantes, lo extrae en C:\ProgramData y ejecuta en segundo plano los componentes necesarios para continuar la infección. Al terminar, incluso muestra un falso mensaje que indica que la comprobación se ha realizado correctamente.
Un programa legítimo de Windows carga el malware
El archivo descargado contiene dos componentes principales: LockScreenContentServer.exe, un ejecutable legítimo y firmado de Windows, y una DLL maliciosa denominada dui70.dll.
Los atacantes aprovechan la forma en la que Windows busca determinadas bibliotecas para conseguir que el programa legítimo cargue su DLL en lugar de la original. Esta técnica, conocida como DLL sideloading, permite que el código malicioso comience a ejecutarse dentro de un proceso de confianza y dificulta su detección por los sistemas de seguridad que se basan en la identidad del ejecutable.
La DLL contiene además una carga fuertemente ofuscada que se decodifica directamente en memoria, sin escribir inicialmente el contenido descifrado en el disco.
A partir de ahí comienza una segunda fase especialmente diseñada para ocultar el malware.
Malware escondido dentro de imágenes PNG
TerminalFix utiliza esteganografía para ocultar nuevas cargas maliciosas dentro de imágenes PNG. Un script de PowerShell descarga tres imágenes desde dominios controlados por los atacantes y extrae datos binarios escondidos entre los valores de sus píxeles.
La primera imagen contiene un ejecutable, mientras que otras dos almacenan diferentes partes de una DLL que posteriormente son reconstruidas en el dispositivo comprometido.
Este procedimiento permite que los archivos transferidos a través de Internet no sean fácilmente reconocibles como ejecutables. Dividir la DLL entre dos imágenes complica todavía más su identificación durante la transmisión. Una vez extraído el contenido, las imágenes originales son eliminadas para reducir las evidencias disponibles para un posterior análisis forense.
TerminalFix analiza la red y busca sistemas importantes
Después de conseguir persistencia mediante el Registro de Windows y una tarea programada que vuelve a ejecutar el malware cada 60 minutos, TerminalFix comienza una fase de reconocimiento del entorno de la víctima.
El malware recopila información del sistema y realiza diferentes consultas sobre Active Directory. Entre otras acciones, identifica relaciones de confianza entre dominios, miembros del grupo de administradores, usuarios y equipos conectados.
También realiza barridos para localizar servidores que puedan resultar especialmente interesantes para los atacantes. Microsoft observó búsquedas orientadas a sistemas utilizados habitualmente como controladores de dominio, bases de datos, servidores de copias de seguridad, gateways y servidores de correo electrónico.
Los scripts utilizados para recopilar información incluyen variantes adaptadas a sistemas configurados en inglés, español y alemán, lo que apunta a su preparación para operar en entornos con diferentes idiomas.
