TerminalFix: كيف تحوّل اختبارات CAPTCHA المزيفة أجهزة ويندوز إلى بوابات داخلية للمهاجمين

تُعد TerminalFix حملة هندسة اجتماعية وثّقتها Microsoft في 28 أغسطس 2026، وهي نسخة من أسلوب ClickFix الذي لا يعتمد بالضرورة على استغلال ثغرة في المتصفح، بل يقنع المستخدم بتنفيذ الشيفرة بنفسه. تبدأ العملية من موقع شرعي مخترق، لكنها قد تنتهي بإنشاء نفق عكسي دائم يمنح المهاجم مسارًا عبر جهاز ويندوز المصاب إلى خدمات داخلية يمكن للجهاز الوصول إليها. 1

كيف تعمل خدعة CAPTCHA المزيفة؟

يزور الضحية موقعًا شرعيًا جرى تعديله من جانب المهاجمين، فتظهر فوق الصفحة نافذة تشبه اختبار Cloudflare Turnstile وتطلب من المستخدم التأكد من أنه إنسان. لكن الخطوة التالية هي موضع الخطر: يطلب الموقع نسخ محتوى ولصقه في Windows Terminal أو PowerShell.

هذه علامة تحذير واضحة. فاختبارات CAPTCHA وTurnstile تجرى داخل المتصفح، ولا تحتاج إلى فتح سطر أوامر أو تشغيل محتوى منسوخ من الحافظة. وتعتمد TerminalFix على جعل المستخدم يظن أن الأمر جزء من عملية التحقق، بدل أن يتعامل معه باعتباره شيفرة قابلة للتنفيذ. 1

كما أن توجيه الضحية إلى Windows Terminal أو PowerShell يتيح للمهاجمين تمرير أوامر متعددة الأسطر وأكثر تعقيدًا من الأوامر المستخدمة عادةً في إغراءات نافذة Run. 1

سلسلة العدوى متعددة المراحل

بعد تشغيل الأمر، تمر الحملة بعدة طبقات تحاول مزج النشاط الخبيث بأدوات موثوقة وملفات تبدو عادية:

1. تنزيل أرشيف: يستخدم PowerShell لتنزيل أرشيف ZIP وفك ضغطه داخل مجلد يبدو مخفيًا أو غير مألوف تحت C:\ProgramData.
2. التحميل الجانبي لملفات DLL: يضع الأرشيف الملف الموقّع من Microsoft باسم LockScreenContentServer.exe إلى جانب ملفات dui70.dll التي يسيطر عليها المهاجم. وعندما يبحث البرنامج التنفيذي عن مكتبة مطلوبة في مجلده المحلي، يحمّل ملف DLL الخبيث بدلًا منها. توقيع البرنامج التنفيذي لا يجعل ملف DLL شرعيًا، بل يجري استغلال الثقة المرتبطة بالبرنامج الموقّع.
3. إخفاء الحمولات داخل الصور: تُخفى مكونات لاحقة داخل بيانات صور PNG باستخدام الإخفاء المعلوماتي، ما يقلل فرص اكتشافها خلال الفحص الأساسي للملفات والتنزيلات.
4. ضمان الاستمرارية: تُستخدم مفاتيح Run في سجل ويندوز والمهام المجدولة لإعادة تشغيل المكونات عند تسجيل الدخول أو في أوقات محددة. 1

وتعني هذه البنية أن حظر اسم ملف واحد لن يكون كافيًا غالبًا. فالمؤشرات الأهم هي سلسلة من السلوكيات المرتبطة: تشغيل PowerShell، وفك أرشيف، ووضع ملفات في مسارات غير معتادة، وتحميل DLL، والوصول إلى صور، ثم إنشاء آليات بقاء. لذلك ينبغي ربط هذه الأحداث عبر سجلات أجهزة المستخدمين بدل تحليل كل حدث بمعزل عن الآخر.

ما الذي تبحث عنه البرمجية الخبيثة؟

تصف Microsoft عمليات استطلاع تشمل النظام والمستخدمين والعمليات والخدمات والشبكة والسياق الأمني. كما تنفذ البرمجية استطلاعًا لبيئة Active Directory، ما يساعدها على التعرف إلى نطاق المؤسسة والأنظمة أو الحسابات التي قد تكون مفيدة في مراحل لاحقة من الوصول. 1

وبالنسبة إلى فرق الأمن، تستحق استعلامات خدمات الدليل غير المعتادة من جهاز عمل عادي اهتمامًا خاصًا عندما تتزامن مع سلسلة تشغيل TerminalFix. ومن المؤشرات المحتملة البحث عن وحدات التحكم بالنطاق، والمستخدمين، والمجموعات، وعلاقات الثقة، والمجلدات المشتركة، والأنظمة البعيدة، والحسابات ذات الصلاحيات المرتفعة.

لماذا يرفع النفق العكسي مستوى الخطر؟

أخطر مكونات الحملة هو زرع Python باسم client.py يُشغّل بواسطة pythonw.exe. ولا يعرض pythonw.exe عادةً نافذة وحدة تحكم عادية، ما قد يجعل تشغيله أقل وضوحًا للمستخدم من برامج سطر الأوامر التقليدية. 1

يتصل العميل بالخارج عبر TLS وWebSockets مع النطاق gitnow[.]dev. ويمكنه تلقي تعليمات للاتصال من جهاز الضحية بعنوان داخلي ومنفذ محدد، ثم تمرير حركة TCP الناتجة عبر اتصال WebSocket المشفر، وفق نموذج يشبه SOCKS5. 1

عمليًا، قد يتحول الجهاز المصاب إلى وكيل شبكة يتحكم فيه المهاجم من الخارج. ولا يعني ذلك أن النفق يمنح وصولًا تلقائيًا إلى كل أنظمة الشبكة الداخلية؛ إذ تظل قابلية الوصول والصلاحيات عاملين أساسيين. لكنه قد يعرّض خدمات غير متاحة مباشرة من الإنترنت العام، لتصبح الإصابة مشكلة وصول إلى الشبكة الداخلية، لا مجرد برمجية خبيثة على جهاز واحد.

مؤشرات الكشف والتحري

ينبغي البحث عن مجموعة مؤشرات مترابطة بدل اعتبار أي أثر منفرد دليلًا قاطعًا:

• تشغيل Windows Terminal أو PowerShell مباشرة بعد جلسة متصفح أو ظهور مطالبة CAPTCHA أو «التحقق من أنك إنسان».
• أوامر PowerShell تنزّل أو تفك ترميز أو تفك ضغط أو تشغّل محتوى مصدره الحافظة.
• تشغيل PowerShell في نافذة مخفية، أو كتابة أرشيفات وملفات تنفيذية داخل مسارات غير معتادة تحت ProgramData.
• تشغيل LockScreenContentServer.exe خارج مجلد ويندوز المتوقع، خصوصًا عند وجود dui70.dll إلى جانبه في مسار غير مألوف أو قابل للكتابة من المستخدم.
• الوصول إلى ملفات PNG قبل ظهور ملفات DLL أو Python جديدة، أو مهام مجدولة، أو قيم جديدة في مفاتيح Run.
• إنشاء أو تعديل قيم HKCU أو HKLM ضمن مسار ...\CurrentVersion\Run.
• مهام مجدولة بأسماء غير مألوفة، أو تكرار دوري، أو مسارات مشبوهة، أو إجراءات تتضمن PowerShell أو pythonw.exe أو client.py.
• تشغيل pythonw.exe مع وسيط client.py وظهور اتصالات TLS أو WebSocket صادرة إلى gitnow[.]dev.
• تنفيذ عمليات استطلاع لـ Active Directory والشبكة من محطة عمل لا تنفذ هذا النوع من الاستعلامات عادةً. 1

ينبغي البحث عن gitnow[.]dev في سجلات DNS والوكيل والجدار الناري وEDR وTLS/SNI وWebSocket، مع حظره عند الحاجة. وللحصول على القيم الكاملة للهاشات وعناوين URL ومسارات الملفات وأسماء المهام وإرشادات الكشف، يجب الرجوع إلى نشرة Microsoft الخاصة بالحملة، لأن أسماء الملفات والبنية التحتية قد تتغير. 1

ماذا تفعل المؤسسة عند الاشتباه بالتنفيذ؟

1. اعزل الجهاز: افصل الجهاز المشتبه به عن الشبكة، مع الحفاظ على الذاكرة وسلاسل العمليات وسجلات PowerShell وتعريفات المهام المجدولة ومفاتيح الاستمرارية وسجلات DNS والوكيل وبيانات EDR.
2. احظر وحدد النطاق: احظر النطاق والبنية التحتية المرتبطة به عبر DNS وبوابات الويب الآمنة والوكلاء والجدران النارية وأدوات حماية الأجهزة. ثم ابحث في البيئة كلها عن سلسلة التنفيذ نفسها قبل إعادة أي جهاز إلى الشبكة.
3. احمِ الحسابات: تعامل مع كلمات المرور وبيانات الاعتماد التي استُخدمت أو خُزنت على الجهاز باعتبارها معرضة للخطر. بعد الاحتواء وتحديد نطاق الحادث، أعد تعيين كلمات المرور وألغِ الجلسات والرموز النشطة، مع إعطاء الأولوية للحسابات الإدارية وحسابات النطاق والسحابة وVPN والمتصفح والخدمات وواجهات API التي كان يمكن الوصول إليها من الجهاز.
4. راجع النشاط الداخلي: افحص سجلات مصادقة Active Directory والوصول عن بُعد وخوادم الملفات وVPN وأدوات الإدارة المرتبطة بالجهاز والمستخدم.
5. أعد بناء الجهاز عند الحاجة: من الأفضل إعادة تهيئة الأنظمة المؤكد اختراقها عندما يكون ذلك ممكنًا. فحذف DLL أو مهمة مجدولة أو مفتاح Run واحد قد لا يزيل آليات بقاء أخرى أو وصولًا أنشئ عبر النفق.

ضوابط تقلل احتمال الإصابة

ينبغي للمؤسسات تقييد PowerShell وWindows Terminal وفق أدوار المستخدمين، واستخدام أدوات التحكم بالتطبيقات مثل WDAC أو AppLocker حيثما كان ذلك مناسبًا. كما أن تقليل الصلاحيات وإلغاء حقوق المسؤول المحلي غير الضرورية يحدان من أثر نجاح الخدعة. ولا ينبغي الاعتماد على سياسة التنفيذ وحدها، لأنها ليست حدًا أمنيًا كافيًا.

يساعد تفعيل وتجميع PowerShell Script Block Logging مركزيًا، بما في ذلك الحدث 4104، إلى جانب تسجيل الوحدات ونسخ الجلسات عند الحاجة وAMSI وحماية EDR من العبث وتسجيل إنشاء العمليات، على إعادة بناء سلسلة التنفيذ. كما ينبغي لأدوات حماية الويب والمتصفح مراقبة إعادة التوجيه من المواقع المخترقة، وحقن JavaScript الخبيث، والتلاعب المشبوه بالحافظة، والبنية التحتية المعروفة للتحكم والسيطرة. 1

أما تدريب المستخدمين، فيجب أن يركز على قاعدة بسيطة وسهلة التذكر:

لا تلصق أوامر في Run أو Command Prompt أو PowerShell أو Windows Terminal لأن موقعًا أو اختبار CAPTCHA أو رسالة خطأ في المتصفح أو إعلانًا أو صفحة دعم طلبت منك ذلك.

أغلق الصفحة وأبلغ عن عنوانها بدلًا من تنفيذ التعليمات.

توضح TerminalFix أن الأدوات الموثوقة قد تصبح أجزاءً من سلسلة خبيثة. فقد يبدو كل من البرنامج التنفيذي الموقّع وPython وTLS وWebSockets وملفات الصور والموقع الشرعي عاديًا عند فحصه منفردًا. لذلك يعتمد الدفاع الفعّال على ربط السلوكيات، وعزل الأجهزة بسرعة، وحماية الهويات، لا على حظر اسم ملف أو توقيع واحد فقط. 1