TerminalFix forklaret: Falske CAPTCHA'er gør Windows-pc'er til reverse-tunnel-proxyer

TerminalFix er en social engineering-kampagne, som Microsoft dokumenterede den 28. august 2026. Kampagnen er en variant af ClickFix-teknikken: I stedet for at udnytte en sårbarhed i browseren overtaler angriberne brugeren til selv at køre koden.

Angrebet begynder på et legitimt websted, der er blevet kompromitteret, men kan ende med en vedvarende reverse tunnel. Den giver angriberen en rute gennem den inficerede Windows-pc til interne tjenester, som ellers ikke er direkte tilgængelige fra internettet. 1

Sådan fungerer det falske CAPTCHA-angreb

Offeret besøger et legitimt websted, som angriberne har ændret. Her vises et overlay, der ligner Cloudflare Turnstile, med den velkendte opfordring til at bekræfte, at man er et menneske.

Det afgørende sker bagefter: Siden beder brugeren kopiere indhold og indsætte det i Windows Terminal eller PowerShell.

Det er det tydelige faresignal. CAPTCHA- og Turnstile-udfordringer foregår i browseren. De kræver ikke, at brugeren åbner en kommandoskal eller kører indhold fra udklipsholderen. TerminalFix udnytter, at brugeren opfatter kommandoen som en del af bekræftelsen i stedet for at genkende den som kode. 1

Ved at sende brugeren til Windows Terminal eller PowerShell kan angriberne desuden levere længere kommandoer i flere linjer end ved traditionelle lokkemidler, der bruger dialogboksen Kør. 1

En angrebskæde i flere trin

Når kommandoen køres, fortsætter kampagnen gennem flere lag, der blander skadelig aktivitet med betroede værktøjer og filer, som ser almindelige ud:

1. Levering af arkiv: PowerShell downloader og pakker et ZIP-arkiv ud i en diskret mappe under C:\ProgramData.
2. DLL-sideloading: Arkivet placerer den Microsoft-signerede LockScreenContentServer.exe sammen med angribernes dui70.dll-filer. Når det legitime program leder efter et nødvendigt bibliotek i sin egen mappe, indlæser det i stedet den skadelige DLL. Den digitale signatur gør ikke DLL-filen legitim; den misbruges til at give angriberens kode et mere troværdigt udgangspunkt.
3. Skjulte nyttelaster: Senere komponenter gemmes i PNG-billeddata ved hjælp af steganografi. Det gør dem mindre synlige ved en simpel gennemgang af filer og downloads.
4. Vedvarende adgang: Poster i registreringsdatabasen under Run samt planlagte opgaver sørger for, at komponenter kan starte igen efter login eller med faste intervaller. 1

For forsvarere betyder det, at det næppe er nok at blokere ét filnavn. Angrebskæden består af en række adfærdsmønstre — PowerShell-kørsel, udpakning af arkiver, usædvanlige filplaceringer, DLL-indlæsning, adgang til billeder og etablering af persistens — som bør sammenholdes i endpoint-telemetrien.

Hvad leder malwaret efter?

Microsoft beskriver, hvordan malwaret indsamler oplysninger om systemet, brugere, processer, tjenester, netværk og sikkerhedskontekst. Det udfører også rekognoscering i Active Directory for at kortlægge domænemiljøet og finde systemer eller konti, der kan være værdifulde ved et senere angreb. 1

Sikkerhedsteams bør derfor være opmærksomme på mistænkelige forespørgsler mod katalogtjenester fra almindelige arbejdsstationer — især når de optræder sammen med resten af TerminalFix-kæden. Det kan blandt andet være kortlægning af domænecontrollere, brugere, grupper, trusts, netværksshares, eksterne systemer eller privilegerede konti.

Derfor er reverse tunnelen særlig alvorlig

Kampagnens mest betydningsfulde komponent er et Python-implantat i filen client.py, som startes med pythonw.exe. Da pythonw.exe normalt ikke viser et almindeligt konsolvindue, kan processen være mindre synlig for brugeren end et traditionelt kommandolinjeprogram. 1

Klienten kommunikerer udgående over TLS og WebSockets med gitnow[.]dev. Den kan modtage instruktioner om at oprette forbindelse fra offerets pc til en intern adresse og port og derefter videresende den resulterende TCP-trafik gennem den krypterede WebSocket-forbindelse i en model, der minder om SOCKS5. 1

I praksis kan den inficerede computer dermed blive til en netværksproxy, som styres udefra. Tunnelen giver ikke automatisk adgang til alle interne systemer — netværkets rækkevidde og brugerens rettigheder gælder stadig. Men den kan gøre tjenester tilgængelige, som ikke kan nås direkte fra det offentlige internet. Problemet bliver derfor ikke kun malware på én pc, men også mulig adgang til det interne netværk.

Hvad skal man lede efter?

Se efter kombinationer af følgende signaler i stedet for at betragte ét enkelt fund som et sikkert bevis:

• En browsersession efterfulgt næsten øjeblikkeligt af Windows Terminal eller PowerShell, særligt efter en CAPTCHA- eller "bekræftelse"-prompt.
• PowerShell, der downloader, afkoder, udpakker eller kører indhold fra udklipsholderen.
• PowerShell med skjult vindue eller arkiver og eksekverbare filer, der skrives til usædvanlige placeringer under ProgramData.
• LockScreenContentServer.exe, der kører uden for den forventede Windows-mappe, især hvis den ligger sammen med dui70.dll i en usædvanlig eller brugerskrivbar mappe.
• PNG-filer, der tilgås kort før nye DLL- eller Python-filer, planlagte opgaver eller Run-poster oprettes.
• Nye eller ændrede værdier under HKCU eller HKLM i ...\CurrentVersion\Run.
• Planlagte opgaver med usædvanlige navne, gentagne kørsler, mistænkelige stier eller handlinger, der indeholder PowerShell, pythonw.exe eller client.py.
• pythonw.exe, der startes med argumentet client.py, kombineret med udgående TLS- eller WebSocket-trafik til gitnow[.]dev.
• Active Directory- og netværksrekognoscering fra en arbejdsstation, der normalt ikke udfører den slags kortlægning. 1

Søg i DNS-, proxy-, firewall-, EDR-, TLS/SNI- og WebSocket-telemetri efter gitnow[.]dev. Microsofts sikkerhedsadvarsel bør bruges som kilde til de komplette hashes, URL'er, filstier, opgavenavne og øvrige detektionsdata, fordi filnavne og infrastruktur kan ændre sig. 1

Hvad gør man ved mistænkt kørsel?

1. Isolér enheden. Afbryd den mistænkte pc fra netværket, men bevar hukommelse, procestræer, PowerShell-logge, definitioner af planlagte opgaver, persistensnøgler, DNS- og proxylogge samt EDR-telemetri.
2. Blokér og afgræns angrebet. Blokér de identificerede domæner og den relevante leveringsinfrastruktur i DNS, sikre webgateways, proxyer, firewalls og endpoint-kontroller. Søg i hele miljøet efter den samme kørselskæde, før systemer kobles på igen.
3. Beskyt identiteterne. Gå ud fra, at legitimationsoplysninger, der er brugt eller gemt på værten, kan være kompromitteret. Når situationen er inddæmmet og den indledende afgrænsning er gennemført, bør relevante adgangskoder nulstilles, og aktive sessioner og tokens tilbagekaldes. Prioritér privilegerede konti, domæne- og cloudkonti, VPN-adgange, browserkonti, servicekonti og API-nøgler, som kunne nås fra enheden.
4. Undersøg intern aktivitet. Gennemgå Active Directory-godkendelser, fjernadgang, filservere, VPN-forbindelser og administrative værktøjer, der er knyttet til enheden og dens bruger.
5. Genopbyg ved behov. Geninstaller eller reimage bekræftede kompromitterede systemer, når det er muligt. At fjerne én DLL, planlagt opgave eller Run-post fjerner ikke nødvendigvis anden persistens eller adgang, der er etableret via tunnelen.

Kontroller, der mindsker risikoen

Organisationer bør begrænse PowerShell og Windows Terminal efter rolle og anvende applikationskontrol som WDAC eller AppLocker, hvor det er relevant. Stol ikke alene på execution policy — den er ikke en sikkerhedsgrænse. Mindst mulige rettigheder og fjernelse af unødvendige lokale administratorrettigheder begrænser konsekvenserne af et vellykket lokkemiddel.

Centraliseret PowerShell Script Block Logging, herunder Event ID 4104, samt module logging, transskribering efter behov, AMSI, endpoint-detektion, beskyttelse mod manipulering og logning af procesoprettelse kan hjælpe med at rekonstruere angrebskæden. Browser- og webkontroller bør også holde øje med omdirigeringer fra kompromitterede websteder, ondsindet scriptindsprøjtning, mistænkelig manipulation af udklipsholderen og kendt command-and-control-infrastruktur. 1

Brugertræning bør fokusere på én enkel regel:

Indsæt aldrig kommandoer i Kør, Kommandoprompt, PowerShell eller Windows Terminal, fordi et websted, en CAPTCHA, en browserfejl, en annonce eller en supportside beder dig om det.

Luk siden, og indberet i stedet URL'en.

TerminalFix viser, hvordan betroede komponenter kan indgå i en skadelig kæde. Et signeret program, Python, TLS, WebSockets, billedfiler og et legitimt websted kan hver for sig se harmløse ud. Et effektivt forsvar kræver derfor sammenkobling af adfærd, hurtig isolering af enheder og beskyttelse af identiteter — ikke blot blokering af ét filnavn eller én signatur. 1