Riadót fújt a Microsoft: rendkívül hiteles csalás terjed - ha ilyet látsz, kezdj el gyanakodni, rengeteg pénzed bánhatja

A hagyományos ClickFix-kampányok a Windows Futtatás ablakába irányítják az áldozatokat, a TerminalFix nevű hackertámadás azonban a Windows Terminalt vagy a PowerShellt veszi célba, így összetettebb, többsoros szkriptek lefuttatására is képes. A több ágazatot érintő támadás során a bűnözők feltört weboldalakat használnak kiindulópontként. A látogatók egy hamis Cloudflare CAPTCHA-oldallal találkoznak, amely arra kéri őket, hogy másoljanak ki és futtassanak egy kártékony PowerShell-parancsot.

A parancs egy ZIP-archívumot tölt le, amely egy legitim fájlt és egy kártékony DLL-t tartalmaz, amellyel DLL-mellékbetöltéses támadást indít el.

A Microsoft figyelmeztetése szerint az ilyen jellegű behatolás különösen veszélyes, mivel a fordított alagúton keresztül a támadók közvetlen hozzáférést nyernek a szervezetek belső hálózatához. Innen jogosultságkiterjesztést hajthatnak végre, biztonsági védelmi vonalakat iktathatnak ki, érzékeny adatokat szivárogtathatnak ki, vagy akár zsarolóvírust is telepíthetnek.

A védekezés érdekében a Microsoft azt javasolja, hogy a felhasználók az AppLocker, a Windows-alkalmazásvezérlés vagy a Csoportházirend segítségével korlátozzák a PowerShell és a Futtatás ablak használatát. 

Senki sincs biztonságban

A CAPTCHA-típusú csalások elől a magyar internetezők sincsenek biztonságban: egy olvasónk nemrég arról számolt be lapunknak, hogy egy széles körben ismert online platformon kapott egy üzenetet. A felhasználó az üzenetről e-mail értesítést is kapott, amely így azt az illúziót kelti, hogy a weboldal üzemeltetői keresték fel. Az üzenetben a csalók azt állították, hogy probléma merült fel az általa feltöltött tartalommal, amelyet sürgősen ellenőrizni kell, különben törölhetik.

Az üzenetben szereplő hivatkozás egy olyan webcímre vezetett, amely első pillantásra szinte teljesen megegyezett a valódi szolgáltatás címével. A támadók a weboldal URL-jében mindössze egy betűt cseréltek le két, egymás mellett az eredetire rendkívül hasonlító karakterre. Az oldalon ezután egy CAPTCHA-nak látszó csúszkát kellett elhúzni, amely aztán persze nem meglepő módon egy adathalász felületre irányít.

Bár ez nem feltétlenül ugyanaz a támadási lánc volt, mint a Microsoft által most feltárt TerminalFix, a megtévesztés alapja megegyezett: a csalók egy ismerős és biztonságosnak tűnő CAPTCHA-ellenőrzéssel próbálták rávenni a felhasználót az utasításaik követésére. A legnagyobb veszélyt az jelenti, ha az oldal ezt követően belépési adatok megadását, fájl vagy alkalmazás telepítését, illetve valamilyen parancs kézi lefuttatását kéri.