Der Technologiekonzern Microsoft hat eine dringende Warnung vor einer neuen Cyberbedrohung namens TerminalFix herausgegeben. Dabei handelt es sich um eine Variante der bekannten ClickFix-Angriffsmethode, die speziell darauf ausgelegt ist, das Windows Terminal auszunutzen. Ziel dieser Kampagne ist es, eine dauerhafte Hintertür (Backdoor) auf Unternehmensebene zu etablieren, um langfristigen Zugriff auf sensible Netzwerke zu erhalten.
Manipulationsversuche über gefälschte Sicherheitsprüfungen
Die Angreifer setzen bei TerminalFix auf gezielte Täuschung der Endnutzer. Die Infektionskette beginnt häufig auf manipulierten Webseiten, die legitime Cloudflare-Turnstile-Seiten imitieren. Diese täuschen eine Sicherheitsprüfung vor und fordern die Nutzer dazu auf, bestimmte Befehlszeilen zu kopieren und in ihr Windows Terminal oder die PowerShell-Konsole einzufügen.
Sobald ein Nutzer diesen Anweisungen folgt, wird ein automatisierter Prozess in Gang gesetzt. Ein bösartiger PowerShell-Befehl löst den Download einer ZIP-Datei aus, die den Grundstein für die weitere Kompromittierung des Systems legt.
Komplexer Infektionsweg durch DLL-Sideloading und Steganografie
Innerhalb der heruntergeladenen ZIP-Datei befindet sich eine legitime, digital signierte Datei namens LockScreenContentServer.exe. Gemeinsam mit dieser wird jedoch eine manipulierte Bibliothek mit der Bezeichnung dui70.dll ausgeliefert.
Microsoft zufolge wird hierbei das sogenannte DLL-Sideloading genutzt: Beim Ausführen der legitimen Datei wird gleichzeitig der Schadcode aus der manipulierten DLL-Datei geladen, ohne dass Sicherheitsmechanismen sofort Alarm schlagen.
Um die Entdeckung weiter zu erschweren, setzen die Hintermänner auf Steganografie. Die eigentlichen Schadlasten (Payloads) sind in gewöhnlichen PNG-Bilddateien versteckt. Diese Technik ermöglicht es, bösartige Datenpakete als harmlosen Bildverkehr zu tarnen und so traditionelle Sicherheitsbarrieren zu umgehen.
Wer sich mit dem Thema Cyber-Sicherheit befasst, erkennt schnell, dass technische Schutzmaßnahmen allein oft nicht ausreichen. Dieser kostenlose Report zeigt, welche psychologischen Tricks Hacker gezielt einsetzen und wie man sie effektiv entlarvt. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Dauerhafte Präsenz und Netzwerk-Reconnaissance
Ist das System erst einmal infiziert, sorgt TerminalFix für eine dauerhafte Verankerung im Unternehmensnetzwerk. Die Persistenz wird durch Einträge in den Registry-Run-Keys sowie durch geplante Aufgaben sichergestellt. Eine dieser Aufgaben ist so konfiguriert, dass der Schadcode alle 60 Minuten erneut ausgeführt wird, um den Zugriff stabil zu halten.
Im weiteren Verlauf des Angriffs führen die Akteure eine umfassende Ausspähung des Active Directory durch. Diese Reconnaissance-Phase dient dazu, die Struktur des betroffenen Firmennetzwerks zu verstehen und potenzielle Ziele für eine seitliche Ausbreitung zu identifizieren.
Die zunehmende Komplexität von Angriffen wie TerminalFix erfordert von Unternehmen eine proaktive Absicherung ihrer IT-Struktur. Dieser kostenlose Ratgeber liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken ohne teure Investitionen schließen. Gratis E-Book zum Schutz vor Cyberangriffen sichern
Kommunikation über verschlüsselte Tunnel
Für den Datenaustausch und die Fernsteuerung nutzen die Angreifer einen Python-basierten Reverse-Tunnel, der im System als client.py identifiziert wurde. Dieser Tunnel stellt über HTTPS und WebSockets eine Verbindung zur Domain gitnow[.]dev her.
Durch die Nutzung dieser Protokolle wird der bösartige Datenverkehr in den regulären Web-Traffic des Unternehmens eingegliedert, was eine Identifizierung durch Netzwerk-Monitoring-Tools erheblich erschwert.
Den vorliegenden Analysen zufolge ist TerminalFix nicht auf eine bestimmte Branche begrenzt. Die Kampagne zielt branchenübergreifend auf eine Vielzahl von Organisationen ab, was die Notwendigkeit für erhöhte Wachsamkeit und Mitarbeiterschulungen im Umgang mit Kommandozeilenbefehlen unterstreicht.
