Der über das gefälschte CAPTCHA untergeschobene PowerShell-Befehl lädt ein ZIP-Archiv herunter. Darin befinden sich eine legitime Binärdatei namens “LockScreenContentServer.exe” sowie eine manipulierte DLL (“dui70.dll”) — die Grundlage für einen DLL-Sideloading-Angriff, bei dem das vertrauenswürdige Programm die bösartige Bibliothek lädt.
Diese DLL übernimmt anschließend mehrere Aufgaben gleichzeitig. Sie holt Folgenutzlasten, die steganografisch in PNG-Bildern versteckt sind, von externen Domains — Microsoft nennt “bestsocialmedianewspapper[.]com” und “offlineupdater[.]com”. Für dauerhafte Verankerung sorgt sie doppelt: über Registry-Run-Schlüssel und über geplante Aufgaben. Zusätzlich führt sie eine Erkundung der Domäne durch und setzt schließlich das eigentliche Implantat ab.
Dabei handelt es sich um einen in Python geschriebenen Reverse-Tunnel zur Befehls- und Kontrollkommunikation, abgelegt als “client.py”. Der Backdoor kann beliebigen TCP-Verkehr über einen verschlüsselten WebSocket-Kanal an die Infrastruktur der Angreifer zurückleiten, konkret an “gitnow[.]dev:443”. In der Gegenrichtung erlaubt der Tunnel dem C2-Server, jeden Host zu erreichen, der aus dem Netz des Opfers heraus sichtbar ist.
Ergänzt wird der Werkzeugkasten um eine dauerhaft laufende PowerShell-Schleife, die eine Textdatei auf neue Befehle überwacht. Auftauchende Anweisungen führt sie über Invoke-Expression aus und schreibt die Ergebnisse in eine Ausgabedatei — ein simpler, aber unauffälliger Kanal für die Fernsteuerung des Rechners.
“Diese Art von Eindringen ist besonders gefährlich, weil sie Angreifern über den Reverse-Tunnel direkten Zugang zum internen Netzwerk einer Organisation verschafft”, erklärt Microsoft. Die beobachtete Erkundung in Verbindung mit der Tunnel-Fähigkeit könne es Angreifern ermöglichen, von einem kompromittierten Host aus weitere Systeme zu identifizieren und zu erreichen.
Microsoft warnt zugleich davor, wozu sich ein solcher Zugang ausbauen lässt: zur Rechteausweitung, zum Ausschalten von Sicherheitsmechanismen, zum Abfluss sensibler Daten und zum Ausrollen von Ransomware. Damit sei TerminalFix eine ernste Bedrohung für Unternehmensumgebungen.
Als Gegenmaßnahmen empfiehlt der Konzern, die Ausführung von PowerShell und des Ausführen-Dialogs für Standardbenutzer per AppLocker, Application Control for Windows oder Gruppenrichtlinien einzuschränken. Wo der Windows-Ausführen-Dialog (Win+R) nicht gebraucht wird, sollte er blockiert oder zumindest protokolliert werden. Hinzu kommen die Überwachung auf Anzeichen von DLL-Sideloading, Schulungen der Belegschaft im Erkennen von ClickFix-Angriffen sowie die Aktivierung des PowerShell-Skriptblock-Protokollierens, um verschleierte oder kodierte Befehle zu erkennen und auszuwerten.