Microsoft Peringatkan Serangan TerminalFix yang Memasang Reverse Tunnel ke Jaringan Internal

Microsoft memperingatkan kampanye serangan siber baru bernama TerminalFix, varian dari teknik ClickFix yang memanfaatkan halaman CAPTCHA palsu untuk menipu pengguna agar menjalankan perintah PowerShell berbahaya di Windows Terminal.

Berbeda dari kampanye ClickFix yang umumnya berakhir dengan pemasangan infostealer, TerminalFix menggunakan rangkaian serangan multi-stage yang dirancang untuk memberikan penyerang reverse tunnel menuju jaringan internal korban.

Akses tersebut dapat menjadikan komputer yang terinfeksi sebagai titik pivot untuk menjangkau sistem lain di jaringan internal.

CAPTCHA Cloudflare Palsu Jadi Awal Serangan

Serangan dimulai ketika korban mengunjungi situs web yang telah dikompromikan dan melihat prompt CAPTCHA Cloudflare palsu.

Korban kemudian diarahkan untuk menjalankan perintah yang sebelumnya telah dimasukkan ke clipboard. Instruksi tersebut dibuat seolah-olah merupakan bagian dari proses verifikasi bahwa pengguna adalah manusia.

Alih-alih melakukan verifikasi, perintah tersebut menjalankan PowerShell dan memulai proses infeksi.

TerminalFix berbeda dari sebagian besar serangan ClickFix karena korban diarahkan ke Windows Terminal atau PowerShell, bukan sekadar menjalankan perintah sederhana. Kondisi tersebut memungkinkan pelaku mengeksekusi script yang lebih kompleks dan terdiri dari beberapa baris.

Microsoft menemukan kampanye tersebut telah beroperasi di dunia nyata, meskipun peneliti belum mengamati aktivitas hands-on-keyboard secara langsung dari operator setelah akses diperoleh.

Malware Menggunakan Teknik Multi-Stage

Perintah PowerShell awal mengunduh sebuah file ZIP yang berisi executable legitimate yang telah ditandatangani secara digital dan sebuah file DLL berbahaya.

DLL tersebut kemudian digunakan untuk mendecode dan menjalankan payload yang telah di-obfuscate langsung di memory.

Teknik tersebut dapat membantu mengurangi jejak malware pada disk sekaligus mempersulit deteksi berbasis file.

Pada tahap berikutnya, pelaku menggunakan steganography untuk menyembunyikan komponen executable dan potongan DLL di dalam data pixel dari tiga gambar PNG.

Script kemudian mengunduh gambar-gambar tersebut dari server command-and-control (C2) dan menyusun kembali payload yang tersembunyi ke dalam sistem korban.

Penggunaan gambar sebagai media penyimpanan payload membuat traffic maupun file yang diunduh terlihat lebih menyerupai konten biasa, sehingga dapat membantu menghindari sejumlah mekanisme deteksi.

Persistence Dibuat agar Berjalan Setiap Jam

Setelah malware aktif, TerminalFix membangun persistence menggunakan Scheduled Task dan Registry Run key.

Keduanya dikonfigurasi agar malware dapat kembali dijalankan secara berkala, termasuk melalui mekanisme yang berjalan setiap jam.

Malware kemudian melakukan reconnaissance terhadap lingkungan korban untuk mengumpulkan informasi yang dapat digunakan dalam tahap serangan berikutnya.

Aktivitas tersebut mencakup pencarian domain controller, database, backup server, gateway, dan mail system. Malware juga mengumpulkan informasi sistem dan melakukan enumerasi terhadap Active Directory (AD).

Informasi tersebut memberikan gambaran mengenai struktur jaringan serta sistem bernilai tinggi yang dapat menjadi target lanjutan.

Reverse Tunnel Mengubah PC Menjadi Network Pivot

Komponen paling penting dalam kampanye ini adalah modul reverse tunnel berbasis Python yang dibuat khusus oleh pelaku.

Modul tersebut membuat koneksi outbound terenkripsi menggunakan WebSocket menuju infrastruktur yang dikendalikan penyerang.

Reverse tunnel tersebut mendukung mekanisme proxy bergaya SOCKS5 yang memungkinkan operator menginstruksikan komputer korban untuk membuat koneksi TCP menuju alamat IP, hostname, dan port internal yang dapat dijangkau dari perangkat tersebut.

Dengan kata lain, penyerang tidak harus memiliki akses langsung ke sistem internal.

Komputer yang telah terinfeksi dapat digunakan sebagai perantara untuk mencapai sistem lain di balik perimeter jaringan.

Bisa Digunakan untuk Lateral Movement dan Pencurian Kredensial

Kemampuan tersebut membuat TerminalFix jauh lebih berbahaya dibandingkan sekadar malware yang menginfeksi satu endpoint.

Setelah memperoleh akses melalui reverse tunnel, penyerang berpotensi melakukan lateral movement ke sistem lain, meningkatkan privilege, mencuri kredensial, menonaktifkan security tools, mengeksfiltrasi data, hingga memasang ransomware.

Reverse tunnel juga mendukung multiplexing, sehingga beberapa koneksi dapat berjalan melalui satu WebSocket.

Komponen tersebut dilengkapi fitur keepalive, kemampuan mengganti User-Agent agar menyerupai browser legitimate, serta fungsi remote shutdown.

Kombinasi fitur tersebut memungkinkan koneksi tetap tersedia sekaligus membantu aktivitas jaringan penyerang terlihat lebih normal.

Microsoft menilai kemampuan tersebut dapat mengubah endpoint yang terinfeksi menjadi network pivot setelah pelaku memperoleh informasi mengenai lingkungan internal melalui proses reconnaissance dan Active Directory enumeration.

Microsoft Sarankan PowerShell Dipantau Ketat

Untuk mengurangi risiko serangan serupa, Microsoft menyarankan organisasi membatasi dan mencatat aktivitas PowerShell.

Administrator juga perlu memantau keberadaan LockScreenContentServer.exe apabila proses tersebut ditemukan berjalan dari lokasi yang tidak semestinya.

Browser dan endpoint protection juga perlu diperkuat untuk mengurangi kemungkinan pengguna menjalankan instruksi berbahaya dari situs web yang telah dikompromikan.

Jika sebuah endpoint diduga telah terinfeksi TerminalFix, investigasi tidak sebaiknya berhenti pada komputer tersebut. Tim keamanan perlu mencari kemungkinan adanya lateral movement menuju sistem lain yang terhubung.

Kredensial yang dapat diakses dari perangkat terinfeksi juga perlu dievaluasi dan dirotasi. Hal ini menjadi semakin penting apabila endpoint tersebut memiliki akses terhadap kredensial dengan privilege tinggi, termasuk domain administrator credentials.

TerminalFix menunjukkan bagaimana teknik ClickFix dapat berkembang dari sekadar social engineering untuk menjalankan satu perintah menjadi intrusion chain yang kompleks. Dengan memanfaatkan reverse tunnel, komputer korban bukan hanya menjadi target infeksi, tetapi dapat berubah menjadi jembatan tersembunyi untuk menjangkau seluruh jaringan internal.

Sumber: Microsoft