Il protocollo di rete “Finger” rinasce in attacchi ClickFix
Il comando “Finger“, legato all’omonimo protocollo di rete, è tornato in auge nell’ambito di alcuni attacchi ClickFix, per eseguire comandi da remoto su dispositivi Windows e distribuire malware.
Nato inizialmente per sistemi Unix e Linux, il comando è stato aggiunto in seguito anche nei sistemi Windows. Il protocollo permette a un utente di visualizzare informazioni sugli altri utenti del sistema, quali, per esempio, il nome di login, la directory home e l’ultimo accesso. Pur essendo ancora supportato, il protocollo ormai viene usato pochissimo.
Come riporta Bleeping Computer, di recente sono state individuate alcune campagne malware che hanno usato Finger per attacchi ClickFix che eseguono comandi da remoto.
Nel dettaglio, gli attaccanti ingannano gli utenti chiedendogli di copiare e incollare un comando nel prompt di Windows ed eseguirlo, per esempio a completamento di una verifica CAPTCHA o nel caso di inviti a riunioni. Il comando usa la sintassi di Finger per connettersi a un server malevolo e, sfruttando la pipe (|), reindirizza l’output del comando Finger a un altro processo.
La risposta del server contiene infatti una serie di comandi Windows che, una volta eseguiti, installano il malware sul dispositivo della vittima. Il malware è spesso un infostealer, ma in alcune varianti più evolute è un RAT.
Non è la prima volta che il comando Finger viene abusato in questo modo: già nel 2020 alcuni ricercatori avevano segnalato casi simili. Le varianti più recenti del malware sono in grado di terminare l’esecuzione di eventuali strumenti di sicurezza attivi; nel caso in cui non ci siano tool di analisi in esecuzione, viene configurato un task per garantire la persistenza del software malevolo, avviandolo ogni volta che l’utente effettua il login.
Per bloccare l’uso del comando Finger e di conseguenza gli attacchi ClickFix che sfruttano questo vettore, Bleeping Computer consiglia di bloccare il traffico in uscita sulla porta TCP 79, ovvero quella usata dal protocollo per connettersi ai servizi remoti.
Altro in questa categoria