TerminalFix: Falske CAPTCHA’er åbner en omvendt tunnel til Windows-netværk

TerminalFix er en Microsoft-sporet ClickFix-kampagne, hvor en tilsyneladende normal sikkerhedskontrol erstattes af en farlig instruktion: Åbn Windows Terminal eller PowerShell, indsæt en kommando, og kør den. Microsoft beskrev aktiviteten den 28. august 2026 som en variant, der bruger kompromitterede websteder og falsk Cloudflare-CAPTCHA-verifikation til at gennemføre et flertrinsangreb. 3

Det alvorlige ligger ikke kun i den første malware-download. Kampagnens rapporterede slutpunkt er et implantat med en omvendt tunnel, der kan give proxyadgang på netværksniveau gennem den kompromitterede Windows-maskine. Det kan potentielt give angriberen en vej videre til interne systemer og tjenester. 3 15

Sådan foregår TerminalFix-angrebet

1. Et legitimt websted bliver leveringspunkt

Angriberne kompromitterer ellers legitime websteder og lægger et falsk Cloudflare Turnstile-lignende CAPTCHA-lag oven på siden. Det skal ligne en almindelig kontrol af, om brugeren er et menneske, men i stedet bliver besøgende bedt om at kopiere og indsætte en kommando i Windows Terminal eller PowerShell. 3 29

Leveringsmetoden er central. Traditionelle ClickFix-angreb leder ofte offeret til dialogboksen Kør i Windows. TerminalFix bruger i stedet Windows Terminal eller PowerShell, hvilket gør det lettere at få mere komplekse scripts – også scripts over flere linjer – til at køre. 1 3

2. PowerShell henter komponenter til DLL-sideloading

Den indsatte PowerShell-kæde downloader et ZIP-arkiv med to centrale filer:

• Den legitimt signerede LockScreenContentServer.exe
• Den ondsindede dui70.dll

Når det signerede program startes, indlæser det angriberens DLL gennem såkaldt DLL-sideloading. Et signeret program kan få kæden til at fremstå mindre mistænkelig end en ukendt binærfil, der startes direkte. De tilgængelige rapporter identificerer filnavnene, men dokumenterer ikke de præcise hashes eller bekræfter, at det legitime program er blevet ændret. 29

3. PNG-filer skjuler de næste payloads

Senere komponenter skjules i PNG-filer ved hjælp af steganografi – altså ved at gemme data i en tilsyneladende uskyldig billedfil. Filerne læses og afkodes lokalt, så angriberne kan hente mere kode uden at præsentere hvert trin som en åbenlys eksekverbar download. 10 29

4. Vedvarende adgang og rekognoscering

Den rapporterede aktivitet etablerer vedvarende adgang både gennem en Registry-registrering under Run og gennem en planlagt opgave. Samtidig undersøger den værten og Active Directory, før tunnelen indsættes. Det øger risikoen langt ud over den oprindeligt inficerede computer. 4 29

For forsvarere er kombinationen vigtig: En bruger, der har kørt CAPTCHA-kommandoen, står måske ikke kun med en isoleret infektion på sin arbejdsstation. Maskinen kan blive et springbræt til kortlægning af og adgang til organisationens netværk.

5. Et Python-implantat opretter den omvendte tunnel

Kampagnen indsætter en Python-baseret komponent til omvendt tunneling via pythonw.exe. Den kommunikerer med gitnow[.]dev gennem TLS og WebSockets på TCP-port 443 og videresender TCP-trafik i SOCKS5-stil. I praksis kan den inficerede computer fungere som proxy mellem angriberen og ressourcer, der er tilgængelige fra offerets netværk. 3 10

Det er derfor, Microsofts beskrivelse af implantatet som netværksbaseret proxyadgang er mere alvorlig end en traditionel advarsel om en infostealer. Målet kan være adgang til interne netværk – ikke kun indsamling af data fra den første maskine. 3 15

Indikatorer, som bør undersøges

De tilgængelige kilder indeholder ikke en komplet Microsoft-tabel med IOC’er, hashes eller alle navne på kommandoer og persistensmekanismer. Punkterne nedenfor bør derfor bruges som jagtspor og ikke som erstatning for Microsofts oprindelige detektioner.

Netværksaktivitet

• DNS-, proxy-, firewall- samt TLS- eller WebSocket-forbindelser til gitnow[.]dev
• Usædvanlig udgående TCP/443-trafik fra brugerarbejdsstationer
• Forbindelser, der begynder kort efter en mistænkelig browsersession eller PowerShell-kørsel

Processer og filer

• pythonw.exe, der kører fra en uventet mappe
• pythonw.exe startet af PowerShell, Windows Terminal eller LockScreenContentServer.exe
• LockScreenContentServer.exe placeret sammen med dui70.dll
• ZIP-arkiver hentet til brugerprofiler eller midlertidige mapper
• PNG-filer, der læses eller afkodes af PowerShell eller Python
• Python-scripts, fortolkere eller indlejrede runtime-miljøer startet fra mapper, som brugeren kan skrive til

Persistens

• Nye eller ukendte Run-poster i Windows-registreringsdatabasen
• Planlagte opgaver, der starter PowerShell, Python, pythonw.exe eller filer fra %AppData%, %LocalAppData%, %Temp%, Downloads eller lignende placeringer

Kommandoadfærd

• Interaktiv aktivitet i PowerShell eller Windows Terminal umiddelbart efter et besøg i browseren
• Kæder, der downloader, afkoder og kører kode
• Kodet eller kraftigt obfuskeret PowerShell
• Kommandoer, der indsættes i en terminal under en påstået CAPTCHA- eller verifikationsproces

Hvad skal man gøre ved mistanke om eksponering?

Isolér først, og bevar derefter beviserne

Afbryd den mistænkte maskine fra netværket efter organisationens incident-response-procedure, men bevar relevante oplysninger fra endpoint, browser, processer og netværk. Undersøg både maskinen, brugerens konto og dens udgående forbindelser. Behandl ikke hændelsen som en almindelig uønsket download.

Undersøg mulig intern adgang

Søg efter indikatorerne ovenfor på tværs af endpoints, DNS-, proxy-, firewall-, identitets- og fjernadgangslogge. Gennemgå Active Directory og telemetri fra domænecontrollere for rekognoscering, mistænkelige forespørgsler om konti eller grupper og tegn på lateral bevægelse. Den omvendte tunnel gør det særligt vigtigt at afklare, hvilke interne systemer maskinen kunne nå. 4 29

Skift potentielt kompromitterede legitimationsoplysninger

Nulstil adgangskoder, og tilbagekald aktive sessioner eller tokens for berørte brugere. Prioritér privilegerede konti, servicekonti og administratorkonti, der blev brugt på den kompromitterede maskine – især hvis den havde adgang til følsomme systemer.

Begræns risikofyldte kørselsveje

Begræns om muligt adgangen til PowerShell og Windows Terminal til godkendte administrator- eller udviklergrupper. Brug mindst mulige privilegier og applikationskontrol, og opret alarmer for ikke-godkendte Python-fortolkere eller kørsel fra mapper, som brugere kan skrive til.

Styrk logning og synlighed

Aktivér PowerShell Script Block Logging, modul-logning og transskribering, hvor det er relevant. Sørg for, at endpoint-overvågningen dækker procesoprettelse, ændringer i planlagte opgaver, persistens i registreringsdatabasen, DNS-opslag og udgående TLS-forbindelser. Disse signaler kan hjælpe med at forbinde den oprindelige browserfælde med den efterfølgende kørsel og netværksaktivitet.

Blokér og overvåg den rapporterede infrastruktur

Blokér gitnow[.]dev, og undersøg historiske forbindelser til domænet. Domæneblokering bør kombineres med adfærdsbaseret overvågning og ikke stå alene, fordi angriberkontrolleret infrastruktur kan skifte.

Den vigtigste advarsel til brugerne

En legitim CAPTCHA kan bede brugeren klikke på et felt eller gennemføre en interaktion direkte i browseren. Den bør aldrig bede nogen om at åbne en terminal, indsætte en ukendt kommando eller køre PowerShell. Netop denne instruktion er det afgørende tegn på social engineering i TerminalFix. 1 3

For organisationer virker brugeruddannelse bedst, når den beskriver den konkrete handling, der skal undgås: Kopiér og kør aldrig en kommando fra en webside blot for at komme forbi en CAPTCHA eller “reparere” et browserproblem. Hvis en bruger allerede har fulgt instruktionen, bør hændelsen straks meldes til IT eller sikkerhedsteamet, og enheden bør ikke bruges videre, før den er blevet undersøgt.