TerminalFix: Falešné CAPTCHA promění počítač s Windows v bránu do firemní sítě

TerminalFix je kampaň založená na sociálním inženýrství, kterou Microsoft popsal 28. srpna 2026. Jde o variantu techniky ClickFix: útočníci nezneužívají chybu v prohlížeči, ale přesvědčí uživatele, aby sám spustil škodlivý kód. Útok začíná na napadeném legitimním webu a může skončit vytvořením trvalého reverzního tunelu, který útočníkům umožní procházet z infikovaného počítače k interním službám dostupným z dané sítě. 1

Jak falešná CAPTCHA funguje

Uživatel navštíví legitimní web, do jehož obsahu útočníci vložili falešnou překryvnou stránku napodobující Cloudflare Turnstile. Ta vypadá jako běžné ověření „nejsem robot“. Rozhodující část ale přijde až potom: stránka návštěvníka vyzve, aby zkopíroval obsah a vložil jej do Windows Terminalu nebo PowerShellu.

Právě to je zásadní varovný signál. CAPTCHA a Turnstile jsou interakce v prohlížeči – nevyžadují otevření příkazového řádku ani spuštění obsahu ze schránky. TerminalFix spoléhá na to, že uživatel bude příkaz považovat za součást ověření a nepozná v něm spustitelný kód. 1

Přesměrování do Windows Terminalu nebo PowerShellu navíc útočníkům umožňuje dodat delší a složitější víceřádkové příkazy než klasická návnada využívající dialog Spustit. 1

Vícefázový řetězec škodlivého kódu

Po spuštění příkazu následuje několik vrstev, které kombinují škodlivé komponenty s důvěryhodnými nástroji a na první pohled běžnými soubory:

1. Stažení archivu: PowerShell stáhne a rozbalí ZIP archiv do nenápadně vypadající složky pod C:\ProgramData.
2. DLL sideloading: Archiv umístí podepsaný program Microsoftu LockScreenContentServer.exe vedle útočníky ovládaných souborů dui70.dll. Když legitimní spustitelný soubor hledá potřebnou knihovnu ve své složce, načte místo ní škodlivou DLL. Samotný podpis EXE souboru přitom neznamená, že je legitimní i připojená knihovna.
3. Skrytí v obrázcích: Další komponenty jsou ukryté v datech PNG obrázků pomocí steganografie, takže při základní kontrole souboru nebo staženého obsahu nemusí být na první pohled patrné.
4. Perzistence: Položky v klíčích Run registru a naplánované úlohy umožní komponentám znovu se spustit po přihlášení nebo v určených intervalech. 1

Pro obránce z toho plyne důležitý závěr: zablokování jediného názvu souboru pravděpodobně stačit nebude. Je třeba spojovat více chování – spuštění PowerShellu, rozbalování archivů, neobvyklé ukládání souborů, načítání DLL, přístup k obrázkům a vytváření mechanismů pro opakované spuštění.

Co malware vyhledává

Podle analýzy Microsoftu malware zjišťuje informace o systému, uživateli, procesech, službách, síťovém prostředí a bezpečnostním kontextu. Provádí také průzkum prostředí Active Directory, aby identifikoval doménu a systémy či účty zajímavé pro další postup útočníků. 1

Bezpečnostní týmy by proto měly věnovat pozornost podezřelým dotazům do adresářových služeb z běžné pracovní stanice, zejména pokud se objeví ve stejné době jako řetězec TerminalFix. Může jít například o vyhledávání řadičů domény, uživatelů, skupin, vztahů důvěry, sdílených složek, vzdálených systémů nebo privilegovaných účtů.

Proč je reverzní tunel tak nebezpečný

Nejzávažnější součástí kampaně je implantát client.py napsaný v Pythonu a spouštěný prostřednictvím pythonw.exe. Protože pythonw.exe běžně nezobrazuje konzolové okno, může být pro uživatele méně nápadný než klasický program spuštěný z příkazové řádky. 1

Implantát navazuje odchozí spojení přes TLS a WebSockets se serverem gitnow[.]dev. Dokáže přijmout pokyn, aby se z napadeného počítače připojil na konkrétní interní adresu a port, a následně předávat TCP provoz zpět přes šifrované spojení WebSocket. Funguje tak podobně jako SOCKS5 proxy. 1

V praxi se z napadeného počítače stává síťový prostředník ovládaný zvenčí. Tunel sám o sobě neznamená přístup ke každému internímu systému – stále záleží na síťové dostupnosti a oprávněních napadeného zařízení. Může ale zpřístupnit služby, které nejsou přímo dostupné z internetu. Incident se tak netýká pouze jednoho počítače, ale potenciálně i celé interní sítě.

Na co se zaměřit při detekci

Jednotlivé indikátory nemusí být samy o sobě průkazné. Důležitější je hledat jejich kombinace:

• Po návštěvě webu nebo zobrazení CAPTCHA se bezprostředně spustí Windows Terminal či PowerShell.
• PowerShell stahuje, dekóduje, rozbaluje nebo spouští obsah dodaný ze schránky.
• PowerShell běží ve skrytém okně nebo zapisuje archivy a spustitelné soubory do neobvyklých umístění pod ProgramData.
• LockScreenContentServer.exe se spouští mimo očekávanou systémovou složku Windows, zejména pokud se nachází vedle dui70.dll v neobvyklém či uživatelsky zapisovatelném adresáři.
• Krátce před vznikem nových DLL, Python souborů, naplánovaných úloh nebo položek Run dochází k přístupu k PNG souborům.
• Přibývají nebo se mění hodnoty HKCU či HKLM v cestě ...\CurrentVersion\Run.
• Vznikají naplánované úlohy s neobvyklými názvy, opakovaným spouštěním, podezřelými cestami nebo akcemi obsahujícími PowerShell, pythonw.exe či client.py.
• pythonw.exe se spouští s argumentem client.py a navazuje odchozí TLS či WebSocket spojení na gitnow[.]dev.
• Běžná pracovní stanice provádí průzkum Active Directory nebo sítě, který pro její obvyklou roli není typický. 1

V DNS, proxy, firewallových, EDR, TLS/SNI a WebSocket záznamech vyhledejte doménu gitnow[.]dev. Pro úplný seznam hashů, URL, cest k souborům, názvů úloh a pravidel detekce je vhodné použít přímo upozornění Microsoftu, protože názvy souborů i infrastruktura se mohou měnit. 1

Co dělat při podezření na spuštění

1. Izolujte zařízení. Odpojte podezřelý počítač od sítě a současně zachovejte informace důležité pro vyšetřování: paměť, strom procesů, PowerShell logy, definice naplánovaných úloh, položky zajišťující perzistenci, DNS a proxy záznamy i telemetrii EDR.
2. Zablokujte infrastrukturu a hledejte další případy. Zablokujte známé domény a zdroje šíření v DNS, bezpečnostních webových branách, proxy, firewallech a koncových zařízeních. Ještě před opětovným připojením hledejte stejný řetězec chování na dalších počítačích.
3. Chraňte identity. S hesly a přihlašovacími údaji použitými nebo uloženými na zařízení zacházejte jako s potenciálně kompromitovanými. Po izolaci a prvotním vymezení incidentu změňte příslušná hesla a odvolejte aktivní relace a tokeny. Přednost mají privilegované, doménové, cloudové, VPN, prohlížečové, servisní a API účty dostupné z napadeného počítače.
4. Prověřte aktivitu uvnitř sítě. Zkontrolujte přihlašování do Active Directory, vzdálený přístup, souborové servery, VPN a používání administrátorských nástrojů spojené s daným zařízením a jeho uživatelem.
5. Zvažte obnovu systému. U potvrzeně napadených počítačů je podle možností vhodné provést čistou reinstalaci či reimage. Odstranění jedné DLL, naplánované úlohy nebo položky Run nemusí odstranit další perzistenci ani přístup získaný přes tunel.

Jak snížit riziko

Organizace by měly omezit používání PowerShellu a Windows Terminalu podle pracovních rolí a tam, kde je to vhodné, nasadit aplikační řízení, například WDAC nebo AppLocker. Samotná zásada spouštění PowerShellu není bezpečnostní hranicí a neměla by být jedinou ochranou. Dopad úspěšné návnady omezí také princip nejmenších oprávnění a odebrání zbytečných práv místního administrátora.

Centrálně shromažďované logování bloků skriptů PowerShellu včetně události 4104, modulové logování, případně transkripce, AMSI, ochrana proti zásahům, EDR a záznamy o vytváření procesů mohou pomoci rekonstruovat celý řetězec útoku. Webové a prohlížečové bezpečnostní mechanismy by měly sledovat také přesměrování z napadených webů, vkládání škodlivého JavaScriptu, podezřelé manipulace se schránkou a známou infrastrukturu velení a řízení. 1

Uživatelské školení by mělo stát na jednoduchém pravidle:

Nikdy nevkládejte příkazy do dialogu Spustit, příkazového řádku, PowerShellu ani Windows Terminalu jen proto, že vás k tomu vyzývá web, CAPTCHA, chybová hláška v prohlížeči, reklama nebo stránka podpory.

Legitimní CAPTCHA příkaz v terminálu nepotřebuje. Pokud stránka takový krok požaduje, zavřete ji a nahlaste její adresu.

TerminalFix ukazuje, že i důvěryhodné komponenty mohou být součástí škodlivého řetězce. Podepsaný spustitelný soubor, Python, TLS, WebSockets, obrázky i legitimní web mohou samostatně působit běžně. Účinná obrana proto nespočívá jen v blokování jednoho názvu nebo podpisu, ale především v propojování událostí, rychlé izolaci zařízení a okamžité ochraně přihlašovacích údajů. 1