عملیات TerminalFix: نفوذ چندمرحله‌ای با استفاده از CAPTCHA جعلی، DLL sideloading و تونل معکوس

خلاصه رویداد
بر اساس تحلیل Microsoft Threat Intelligence، کمپین شناخته‌شده با نام‌های ClickFix و TerminalFix از یک زنجیره نفوذ چندمرحله‌ای استفاده می‌کند. مهاجمان ابتدا قربانیان را با یک درخواست CAPTCHA جعلی فریب می‌دهند، سپس از تکنیک DLL sideloading برای بارگذاری کد مخرب بهره می‌برند و در نهایت یک تونل معکوس برای حفظ دسترسی و کنترل راه‌اندازی می‌کنند. مایکروسافت برای تشخیص و کاوش این فعالیت‌ها، رهنمودها و شاخص‌های قابل شناسایی (detections and hunting guidance) منتشر کرده است.

تکنیک‌های کلیدی مشاهده‌شده
- فریب کاربر با CAPTCHA جعلی به‌عنوان مرحلهٔ اولیه مهندسی اجتماعی.
- استفاده از DLL sideloading برای اجرای بارِ مخرب بدون نیاز به اجراکنندهٔ صریح.
- ایجاد تونل معکوس (reverse tunnel) برای انتقال ترافیک و حفظ دسترسی از پشت فایروال‌ها.

تحلیل مستقل (بر اساس منبع اصلی)
این کمپین نمونه‌ای از ترکیب مهندسی اجتماعی و سواری بر مکانیزم‌های قانونی (sideloading) برای اجتناب از تشخیص است. استفاده از CAPTCHA جعلی باعث می‌شود حمله در لایه کاربر شروع و آسان‌تر از کنترل‌های خودکار عبور کند؛ sideloading نیز اجرای فایل‌های مخرب را زیر پوشش نرم‌افزارهای معتبر قرار می‌دهد؛ و تونل معکوس امکان برقراری ارتباط از داخل شبکهٔ قربانی با زیرساخت مهاجم را فراهم می‌کند. این ترکیب ریسک‌های بالایی برای حفظ دسترسی طولانی‌مدت و جنبش جانبی در شبکه ایجاد می‌کند.

اقدامات پیشنهادی کلی (مطابق با راهنمایی‌های عمومی امنیتی، و بر اساس منبع اصلی)
- رویه‌های کشف: به دنبال رفتارهای غیرمعمول مربوط به بارگذاری DLL و فراخوانی‌های مرتبط با sideloading بگردید و لاگ‌های اجرایی و EDR را برای نشانه‌های تونل‌های خروجی و اتصالات غیرمعمول بررسی کنید.
- حساسیت به فریب‌های مبتنی بر UI: کاربران را در شناسایی صفحات و پیام‌های جعلی آموزش دهید و مکانیزم‌های کاهش برای تعامل خودکار با محتواهای نامطمئن را فعال کنید.
- تقویت کنترل‌های شبکه: مانیتورینگ و محدودسازی اتصالات خروجی غیرمنتظره و استفاده از راهکارهایی که تونل‌زنی معکوس را شناسایی می‌کنند.
- به‌روزرسانی و اعمال سیاست: محدود کردن امکان sideloading در محیط‌های حساس و اطمینان از اعمال کنترل‌های سخت‌گیرانه روی بارگذاری کتابخانه‌های پویا.

یادداشت
تمامی اطلاعات فوق بر اساس گزارش منتشرشده در Microsoft Security Blog است.