رصدت Microsoft Threat Intelligence حملة TerminalFix، وهي variante من أساليب ClickFix، تستهدف مؤسسات في قطاعات متعددة عبر مواقع ويب مخترقة تعرض نافذة تحقق مزيفة من Cloudflare Turnstile. وتدفع الصفحة المستخدم إلى نسخ أمر ولصقه في Windows Terminal أو PowerShell، بدلاً من الاكتفاء بتشغيل أداة سرقة معلومات واحدة كما يحدث في كثير من حملات ClickFix السابقة.
ينفذ الأمر المُلصق سكربت PowerShell متنكرًا في صورة عملية تحقق من Cloudflare، وينزل أرشيف ZIP إلى المسار C:\ProgramData قبل تشغيل ملف دفعي بصمت. يحتوي الأرشيف على الملف التنفيذي الشرعي الموقّع LockScreenContentServer.exe والمكتبة الخبيثة dui70.dll. ويستغل المهاجم اعتماد الملف التنفيذي على المكتبة لتحميل النسخة الخبيثة من المجلد نفسه، في تقنية تعرف باسم DLL sideloading، ما يسمح ببدء التنفيذ من خلال عملية موثوقة ظاهريًا.
سلسلة متعددة المراحل تتجاوز مرحلة الإصابة الأولى
بعد التحميل الجانبي، تستخرج المكتبة حمولة مشفرة من قسم الموارد الخاص بها، ثم تشغّل PowerShell لتنزيل ثلاث صور PNG من نطاقات يتحكم بها المهاجم. وتخفي الصور ملفات تنفيذية وأجزاء من مكتبة DLL داخل بيانات وحدات البكسل باستخدام إخفاء المعلومات (steganography)، قبل إعادة تجميعها على القرص وحذف الصور الأصلية لتقليل الآثار الجنائية.
ينشئ البرمجية آليتي بقاء مستقلتين: مفتاحًا ضمن Registry Run ومهمة مجدولة تعيد تشغيل LockScreenContentServer.exe كل 60 دقيقة. كما تُخفى مجلدات الحمولة باستخدام سمات الملفات المخفية وملفات النظام. وبعد ذلك تجمع معلومات عن الجهاز والبيئة، بما في ذلك علاقات الثقة بين النطاقات، وأعضاء مجموعة Domain Admins، وحسابات ومضيفي Active Directory، إضافة إلى إجراء اختبارات ping على خوادم قد تمثل وحدات تحكم بالنطاق أو قواعد بيانات أو خوادم نسخ احتياطي وبوابات وبريد.
النفق العكسي هو أخطر عناصر الحملة
القدرة الأهم التي رصدتها Microsoft هي نشر برمجية نفق عكسي مكتوبة بلغة Python. يجلب المهاجم بيئة Python 3.14.5 القابلة للتضمين من التوزيع الرسمي لـ python.org، بينما توجد الوظائف الخبيثة في الملف client.py. وتُشغّل البرمجية عبر pythonw.exe من دون نافذة ظاهرة، ثم تتصل بالبنية التحتية للمهاجم عبر TLS على المنفذ 443 وتحوّل الاتصال إلى قناة WebSocket.
تتيح هذه القناة تمرير اتصالات TCP عشوائية بأسلوب SOCKS5، ما يحول الجهاز المصاب إلى نقطة عبور يمكن استخدامها للوصول إلى أنظمة أخرى مرئية من شبكة المؤسسة. كما تنفذ الحملة حلقة PowerShell تراقب ملفًا نصيًا، فتشغّل الأوامر التي تُكتب فيه وتحفظ النتائج في ملف آخر يمكن قراءته عبر النفق.
ماذا يعني ذلك لفرق الدفاع؟
لا تثبت Microsoft أنها رصدت في السلسلة المحللة تصعيدًا للصلاحيات أو سرقة بيانات أو نشر برمجية فدية؛ لكنها تحذر من أن وجود النفق العكسي يعني وجوب التعامل مع الجهاز المتأثر كنقطة pivot محتملة داخل الشبكة. لذلك ينبغي فحص الحركة الجانبية والتعرض المحتمل لبيانات الاعتماد، مع إعطاء أولوية لتغيير بيانات الاعتماد التي كان الجهاز يستطيع الوصول إليها، بما في ذلك حسابات مسؤولي النطاق إذا كان الجهاز منضمًا إلى النطاق.
وتوصي Microsoft بتقييد PowerShell وWindows Terminal وRun dialog للمستخدمين العاديين، وتفعيل تسجيل PowerShell Script Block Logging، ومراقبة تشغيل LockScreenContentServer.exe من مسارات غير قياسية، وتدريب المستخدمين على عدم لصق أوامر تطلبها صفحات CAPTCHA. كما أدرجت الشركة استعلامات Advanced Hunting لرصد التحميل الجانبي، واستخراج الحمولة من الصور، وتشغيل client.py، والاتصالات بالنطاقات المرتبطة بالحملة، إلى جانب قواعد MITRE ATT&CK الخاصة بالوصول الأولي والتنفيذ والبقاء والاستطلاع والتحكم.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.