كيف يحوّل هجوم TerminalFix اختبار CAPTCHA مزيفاً إلى بوابة للشبكة الداخلية؟

الخلاصة: اختبار أمني مزيف يقود إلى وصول شبكي

TerminalFix هي حملة تتبعها Microsoft ضمن أسلوب ClickFix؛ إذ تستبدل خطوة تحقق أمنية عادية بتعليمات خطرة تطلب من المستخدم فتح Windows Terminal أو PowerShell، ثم نسخ أمر ولصقه وتشغيله. ووصفت Microsoft النشاط في 28 أغسطس 2026 بأنه نسخة تستخدم مواقع مخترقة وواجهة Cloudflare CAPTCHA مزيفة لتنفيذ اختراق متعدد المراحل. 3

ولا ينتهي الخطر عند تنزيل برنامج ضار لمرة واحدة. فالنتيجة المعلنة للحملة هي زرع مكوّن نفق عكسي قادر على توفير وصول وكيل على مستوى الشبكة عبر جهاز Windows المصاب، ما قد يمنح المشغّل مساراً نحو أنظمة وخدمات داخلية. 3 15

كيف ينفذ TerminalFix الهجوم؟

1. موقع شرعي يتحول إلى نقطة توزيع

يخترق المهاجمون مواقع تبدو شرعية، ثم يضعون فوق صفحاتها نافذة CAPTCHA مزيفة تشبه Cloudflare Turnstile. وتوحي النافذة بأن على الزائر تنفيذ خطوة مألوفة من نوع «تحقق من أنك لست روبوتاً»، لكنها تطلب منه نسخ أمر إلى Windows Terminal أو PowerShell. 3 29

وهنا يكمن الاختلاف الأساسي عن حملات ClickFix التقليدية، التي كانت توجه الضحية غالباً إلى مربع Run في Windows. أما TerminalFix فيستخدم Windows Terminal أو PowerShell، الأمر الذي يسهّل تشغيل نصوص أكثر تعقيداً ومتعددة الأسطر. 1 3

2. PowerShell ينزّل مكوّنات التحميل الجانبي

تعمل سلسلة PowerShell التي يلصقها المستخدم على تنزيل أرشيف ZIP يحتوي على ملفين مهمين:

• ملف موقّع شرعياً باسم LockScreenContentServer.exe.
• ملف DLL خبيث باسم dui70.dll.

وعند تشغيل الملف التنفيذي الموقّع، يحمّل مكتبة DLL التي يسيطر عليها المهاجمون عبر أسلوب التحميل الجانبي لـ DLL. وقد يساعد استخدام ملف تنفيذي موقّع على جعل السلسلة أقل إثارة للشك من تشغيل ملف مجهول مباشرة. وتورد التقارير هذه الأسماء، لكنها لا تثبت وجود تعديلات على الملف التنفيذي الشرعي ولا تقدم قيم التجزئة الدقيقة لهما. 29

3. إخفاء الحمولات داخل صور PNG

تخفي الحملة مكوّنات المراحل اللاحقة داخل ملفات PNG باستخدام الإخفاء المعلوماتي (Steganography). ثم تُقرأ هذه الملفات وتُفك شيفرتها محلياً، ما يسمح بجلب شيفرة إضافية من دون أن تظهر كل مرحلة على شكل ملف تنفيذي واضح. 10 29

4. تثبيت الاستمرارية والاستطلاع

تنشئ الحملة آليتي استمرارية على الأقل: قيمة Run في سجل Windows، ومهمة مجدولة. كما تنفذ استطلاعاً للجهاز وبيئة Active Directory قبل نشر النفق، وهو ما يرفع الخطر إلى ما هو أبعد من إصابة محطة العمل الأولى. 4 29

وتكتسب هذه الخطوات أهمية خاصة لفرق الدفاع؛ فالمستخدم الذي نفّذ الأمر المعروض في CAPTCHA المزيفة قد لا يواجه إصابة معزولة على جهازه فقط، بل قد يتحول الجهاز إلى نقطة انطلاق للاستطلاع والوصول إلى الشبكة.

5. زرع نفق عكسي قائم على Python

تنشر الحملة مكوّناً لنفق عكسي مبنياً على Python من خلال pythonw.exe. ويتصل هذا المكوّن بالنطاق gitnow[.]dev عبر TLS وWebSockets على المنفذ TCP/443، ثم يمرر حركة TCP شبيهة بحركة SOCKS5. وعملياً، يمكن للحاسوب المصاب أن يعمل كوكيل بين المشغّل والموارد التي يمكن الوصول إليها من شبكة الضحية. 3 10

ولهذا فإن وصف Microsoft للمكوّن بأنه يوفر وصولاً وكيلًا على مستوى الشبكة أكثر خطورة من تنبيه تقليدي حول سارق معلومات؛ إذ قد يكون هدف المهاجم الوصول إلى موارد الشبكة الداخلية، وليس جمع البيانات من الجهاز الأول فحسب. 3 15

مؤشرات ينبغي البحث عنها

لا تتضمن المصادر المتاحة جدول Microsoft الكامل لمؤشرات الاختراق أو قيم التجزئة أو جميع أسماء الأوامر وآليات الاستمرارية. لذلك ينبغي التعامل مع المؤشرات التالية باعتبارها مسارات بحث أولية، لا بديلاً عن قواعد الكشف الأصلية لدى Microsoft.

نشاط الشبكة

• استعلامات DNS واتصالات الوكيل والجدار الناري وTLS أو WebSockets مع gitnow[.]dev.
• حركة TCP/443 صادرة بصورة غير معتادة من محطات عمل المستخدمين.
• اتصالات بدأت بعد وقت قصير من جلسة متصفح مشبوهة أو تنفيذ PowerShell.

العمليات والملفات

• تشغيل pythonw.exe من مسار غير متوقع.
• ظهور pythonw.exe كعملية فرعية لـ PowerShell أو Windows Terminal أو LockScreenContentServer.exe.
• وجود LockScreenContentServer.exe إلى جانب dui70.dll.
• أرشيفات ZIP نُزّلت إلى مجلدات ملف المستخدم أو المجلدات المؤقتة.
• قراءة ملفات PNG أو فكها بواسطة PowerShell أو Python.
• تشغيل نصوص Python أو مفسراتها أو بيئات تشغيل مضمّنة من مسارات يمكن للمستخدم الكتابة فيها.

آليات الاستمرارية

• قيم جديدة أو غير مألوفة ضمن Registry Run.
• مهام مجدولة تشغّل PowerShell أو Python أو pythonw.exe، أو ملفات موجودة في %AppData% أو %LocalAppData% أو %Temp% أو مجلد التنزيلات أو مسارات مشابهة.

سلوك سطر الأوامر

• نشاط تفاعلي في PowerShell أو Windows Terminal مباشرة بعد زيارة صفحة ويب.
• سلاسل تجمع بين التنزيل وفك الترميز والتنفيذ.
• أوامر PowerShell مرمّزة أو شديدة الإخفاء.
• لصق أوامر في الطرفية أثناء خطوة CAPTCHA أو تحقق مزعومة.

ماذا تفعل المؤسسات بعد الاشتباه في التعرض؟

اعزل الجهاز أولاً واحفظ الأدلة

افصل الجهاز المشتبه في إصابته عن الشبكة وفق إجراءات الاستجابة للحوادث في المؤسسة، مع الحفاظ على الأدلة ذات الصلة من الجهاز والمتصفح والعمليات والشبكة. وينبغي فحص الجهاز وحساب مستخدمه واتصالاته الصادرة، لا التعامل مع الواقعة باعتبارها مجرد تنزيل غير مرغوب فيه.

تحقّق من الوصول الداخلي والحركة الجانبية

ابحث عن المؤشرات السابقة عبر الأجهزة وسجلات DNS والوكيل والجدار الناري والهوية والوصول عن بُعد. وراجع قياسات Active Directory ووحدات التحكم بالمجال بحثاً عن استطلاع، أو استعلامات مريبة عن الحسابات والمجموعات، أو مؤشرات على الانتقال الجانبي. وتجعل قدرة النفق العكسي على توفير وصول شبكي عملية تحديد نطاق الوصول الداخلي أمراً بالغ الأهمية. 4 29

غيّر بيانات الاعتماد المحتمل انكشافها

أعد ضبط كلمات المرور وألغِ الجلسات أو الرموز النشطة للمستخدمين المتأثرين. وينبغي إعطاء الأولوية للحسابات ذات الامتيازات، وحسابات الخدمات، وحسابات المسؤولين التي استُخدمت على الجهاز المصاب، خصوصاً إذا كان قادراً على الوصول إلى أنظمة حساسة.

قيّد مسارات التنفيذ عالية الخطورة

قيّد الوصول إلى PowerShell وWindows Terminal على المجموعات الإدارية أو التطويرية المعتمدة، حيثما كان ذلك عملياً. وطبّق مبدأ أقلّ صلاحية وضوابط التطبيقات، وأصدر تنبيهات عند استخدام مفسرات Python غير معتمدة أو تشغيل الملفات من مسارات قابلة للكتابة من المستخدم.

حسّن الرصد

فعّل تسجيل كتل نصوص PowerShell (Script Block Logging) وتسجيل الوحدات ونسخ الجلسات، حيثما كان ذلك مناسباً. وتأكد من أن أدوات حماية النقاط الطرفية ترصد إنشاء العمليات، وتغييرات المهام المجدولة، وآليات الاستمرارية في السجل، واستعلامات DNS، واتصالات TLS الصادرة. ويمكن لهذه الإشارات ربط الخدعة الأصلية في المتصفح بالتنفيذ والنشاط الشبكي اللاحقين.

احجب البنية التحتية المبلّغ عنها وراقبها

احجب gitnow[.]dev وابحث في الاتصالات السابقة بالنطاق. لكن لا ينبغي الاعتماد على حجب النطاق وحده، لأن البنية التحتية التي يسيطر عليها المهاجمون قد تتغير.

التحذير الأهم للمستخدمين

قد يطلب اختبار CAPTCHA الشرعي النقر على مربع أو إتمام تفاعل داخل المتصفح، لكنه لا ينبغي أن يطلب من المستخدم فتح طرفية، أو لصق أمر مجهول، أو تشغيل PowerShell. هذه التعليمات هي علامة الهندسة الاجتماعية الحاسمة في TerminalFix. 1 3

ولذلك ينبغي أن تتضمن توعية الموظفين قاعدة واضحة: لا تنسخ أي أمر توفره صفحة ويب وتنفذه لمجرد اجتياز CAPTCHA أو «إصلاح» مشكلة في المتصفح. وإذا نفّذ شخص هذه الخطوة بالفعل، فعليه إبلاغ فريق الأمن فوراً والتوقف عن استخدام الجهاز إلى أن يخضع للفحص.