TerminalFix, la campagne qui a conduit Berlin dans les griffes de Rhysida

Fin août, Microsoft décrivait la campagne dite TerminalFix, variante de la technique dite ClickFix, expliquant qu'elle s'appuie sur des sites Web compromis affichant un faux aperçu de vérification Cloudflare Turnstile.

Ce que l'éditeur ne disait pas, c'est que cette campagne avait conduit à la cyberattaque contre l'administration de Berlin, découverte autour du 15 août. L'attaque a depuis été revendiquée par l'enseigne de rançongiciel Rhysida. Cette dernière demandait 2 millions d'euros de rançon. Une exigence qui a été rejetée. Près de 6 To de données volées serait désormais distribuées par l'enseigne.

C'est le BSI, l'homologue allemand de l'Agence nationale de la sécurité des systèmes d'information (Anssi) qui vient de révéler le point de départ de cette cyberattaque. Après Microsoft, c'est donc au tour du BSI de lancer l'alerte sur la menace TerminalFix.

Pour mémoire, TerminalFix fonctionne de la manière suivante : lorsque l’utilisateur interagit avec cette fausse interface, une commande PowerShell malveillante est silencieusement copiée dans le presse-papiers ; des instructions guident ensuite l’utilisateur à coller cette commande dans Windows Terminal ou PowerShell.

Cette exécution conduit au chargement d'une DLL malveillante dans un processus de confiance. Des charges utiles additionnelles sont alors téléchargées... sous la forme d'images PNG.

L'étape finale ? Un maliciel qui procède à une reconnaissance approfondie de l’environnement, incluant l’énumération des groupes d’administrateurs de domaine, la découverte des confiances de domaine et le balayage de serveurs internes. Cette cartographie permet de déterminer la valeur de l’hôte compromis.

En prime, un implant de tunnel inversé en Python est installé. L’attaquant utilise un runtime Python embarquable et signé pour lancer un script qui établit une connexion sortante vers le centre de commande et de contrôle (C2) via un canal WebSocket sur TLS/443. Ce tunnel permet de relayer tout trafic TCP arbitraire, transformant l’hôte compromis en un point de pivot réseau complet. L’implant opère sans fenêtre visible, assurant une discrétion maximale.

Le BSI insiste donc : toute machine ainsi compromise doit être considérée non pas comme un cas isolé, mais comme une tête de pont dans le système d'information dont elle fait partie.