TerminalFix: Gefälschte CAPTCHAs öffnen Angreifern einen Rückkanal in Windows-Netzwerke

TerminalFix ist eine von Microsoft beobachtete ClickFix-Kampagne. Statt eine Sicherheitsprüfung nur anzuklicken, sollen Nutzer eine angebliche Cloudflare-CAPTCHA-Anweisung befolgen, Windows Terminal oder PowerShell öffnen, einen Befehl einfügen und ausführen. Microsoft beschrieb die Kampagne am 28. August 2026 als mehrstufigen Angriff über kompromittierte Webseiten und gefälschte Cloudflare-CAPTCHA-Abfragen. 3

Das Ziel ist offenbar nicht lediglich ein einmaliger Malware-Download. Am Ende steht ein Reverse-Tunnel-Implant, der den kompromittierten Windows-Rechner als Proxy für Netzwerkverbindungen nutzen kann. Dadurch könnte ein Angreifer von außen auf Systeme und Dienste zugreifen, die aus dem betroffenen Netzwerk erreichbar sind. 3 15

So läuft der TerminalFix-Angriff ab

1. Eine seriöse Webseite wird zur Köderseite

Die Angreifer manipulieren grundsätzlich legitime Webseiten und legen eine gefälschte, an Cloudflare Turnstile erinnernde CAPTCHA-Einblendung darüber. Der Besucher soll scheinbar nur bestätigen, ein Mensch zu sein. Tatsächlich fordert die Seite ihn auf, einen Befehl zu kopieren und in Windows Terminal oder PowerShell einzufügen. 3 29

Dieser Schritt unterscheidet TerminalFix von vielen früheren ClickFix-Kampagnen. Dort wurden Opfer häufig zum Öffnen des Windows-Dialogfelds „Ausführen“ aufgefordert. TerminalFix setzt stattdessen auf Windows Terminal oder PowerShell, wodurch sich auch komplexere, mehrzeilige Skripte ausführen lassen. 1 3

2. PowerShell lädt die Komponenten nach

Die eingefügte PowerShell-Befehlsfolge lädt ein ZIP-Archiv mit zwei zentralen Dateien herunter:

• der legitim signierten LockScreenContentServer.exe
• der schädlichen dui70.dll

Beim Start der signierten EXE-Datei wird die manipulierte DLL per DLL-Sideloading geladen. Eine signierte, auf den ersten Blick legitime Datei kann dabei weniger auffällig wirken als ein unbekanntes Programm, das direkt ausgeführt wird. Die vorliegenden Berichte nennen diese Dateinamen, liefern jedoch keine exakten Hashes und bestätigen nicht, dass die legitime EXE-Datei selbst verändert wurde. 29

3. PNG-Dateien verstecken weitere Payloads

Spätere Komponenten der Kampagne werden mithilfe von Steganografie in PNG-Dateien verborgen. Die Dateien werden lokal eingelesen und dekodiert. So können weitere Codebestandteile nachgeladen werden, ohne dass jede einzelne Phase als offensichtlich ausführbare Datei erscheint. 10 29

4. Persistenz und Aufklärung des Netzwerks

Die beobachtete Aktivität sorgt auf zwei Wegen für dauerhaften Zugriff: über einen Registry-Run-Eintrag und über eine geplante Aufgabe. Zusätzlich sammelt sie Informationen über den Rechner und die Active-Directory-Umgebung, bevor der Tunnel eingerichtet wird. 4 29

Für die Verteidigung ist das entscheidend: Wer den Befehl der gefälschten CAPTCHA-Seite ausgeführt hat, hat möglicherweise nicht nur einen lokal infizierten Arbeitsplatzrechner. Der Rechner kann anschließend als Ausgangspunkt für weitere Erkundungen und Netzwerkzugriffe dienen.

5. Ein Python-Implant baut den Reverse-Tunnel auf

Die Kampagne setzt eine Python-basierte Reverse-Tunnel-Komponente über pythonw.exe ein. Sie kommuniziert per TLS und WebSockets mit gitnow[.]dev über TCP-Port 443 und leitet TCP-Verkehr im SOCKS5-Stil weiter. Praktisch bedeutet das: Der infizierte Rechner kann als Vermittler zwischen dem Angreifer und Ressourcen im internen Netzwerk fungieren. 3 10

Damit geht die Bedrohung über einen klassischen Infostealer hinaus. Microsoft beschreibt den Implant als Komponente mit Netzwerk-Proxy-Zugriff. Das mögliche Ziel ist also nicht nur die Datensammlung auf dem ersten kompromittierten Rechner, sondern auch der Zugang zu weiteren internen Systemen und Diensten. 3 15

Nach diesen Spuren sollten Sicherheitsteams suchen

Die vorliegenden Quellen enthalten keine vollständige Microsoft-IOC-Tabelle, keine Hashes und nicht alle konkreten Befehle oder Namen der Persistenzmechanismen. Die folgenden Punkte sind daher wichtige Suchansätze, ersetzen aber nicht die vollständigen Microsoft-Erkennungsregeln.

Netzwerkaktivität

• DNS-, Proxy-, Firewall- sowie TLS- oder WebSocket-Verbindungen zu gitnow[.]dev
• Ungewöhnlicher ausgehender TCP/443-Verkehr von Arbeitsplatzrechnern
• Verbindungen, die kurz nach einer verdächtigen Browsersitzung oder PowerShell-Ausführung beginnen

Prozesse und Dateien

• pythonw.exe, das aus einem unerwarteten Verzeichnis gestartet wird
• pythonw.exe, gestartet durch PowerShell, Windows Terminal oder LockScreenContentServer.exe
• LockScreenContentServer.exe zusammen mit dui70.dll im selben Verzeichnis
• ZIP-Archive in Benutzerprofilen oder temporären Ordnern
• PNG-Dateien, die von PowerShell oder Python eingelesen oder dekodiert werden
• Python-Skripte, Interpreter oder eingebettete Laufzeitumgebungen aus durch Nutzer beschreibbaren Verzeichnissen

Persistenz

• Neue oder unbekannte Registry-Run-Einträge
• Geplante Aufgaben, die PowerShell, Python, pythonw.exe oder Dateien aus %AppData%, %LocalAppData%, %Temp%, dem Download-Ordner oder vergleichbaren Pfaden starten

Auffälliges Befehlsverhalten

• Interaktive PowerShell- oder Windows-Terminal-Aktivität unmittelbar nach einem Webseitenbesuch
• Befehlsfolgen zum Herunterladen, Dekodieren und Ausführen
• Kodierte oder stark verschleierte PowerShell-Befehle
• In ein Terminal eingefügte Befehle während einer angeblichen CAPTCHA- oder Verifizierungsprüfung

Was nach einem Verdachtsfall zu tun ist

Zuerst isolieren, dann Beweise sichern

Trennen Sie den verdächtigen Rechner nach dem eigenen Incident-Response-Verfahren vom Netzwerk, und sichern Sie relevante Endpoint-, Browser-, Prozess- und Netzwerkdaten. Behandeln Sie den Vorfall nicht wie einen gewöhnlichen unerwünschten Download. Untersucht werden sollten der Rechner, das zugehörige Benutzerkonto und die ausgehenden Verbindungen.

Nach Zugriffen im internen Netz suchen

Suchen Sie endpointübergreifend sowie in DNS-, Proxy-, Firewall-, Identitäts- und Fernzugriffsprotokollen nach den genannten Indikatoren. Prüfen Sie außerdem Active-Directory- und Domain-Controller-Telemetrie auf Aufklärung, verdächtige Abfragen zu Konten oder Gruppen und Anzeichen lateraler Bewegungen. Wegen der Reverse-Tunnel-Funktion ist die Frage, welche internen Systeme erreichbar waren, besonders wichtig. 4 29

Möglicherweise offengelegte Zugangsdaten ändern

Setzen Sie die Zugangsdaten betroffener Nutzer zurück und widerrufen Sie aktive Sitzungen oder Tokens. Vorrang haben privilegierte Konten sowie Dienst- und Administratorkonten, die auf dem kompromittierten Rechner verwendet wurden oder von dort aus erreichbar waren.

Riskante Ausführungspfade begrenzen

Beschränken Sie den Zugriff auf PowerShell und Windows Terminal, soweit möglich, auf freigegebene Administratoren und Entwickler. Setzen Sie auf das Prinzip der geringsten Rechte und Application Control. Nicht genehmigte Python-Interpreter sowie Ausführungen aus durch Nutzer beschreibbaren Verzeichnissen sollten blockiert oder zumindest alarmiert werden.

Protokollierung verbessern

Aktivieren Sie, soweit es die Umgebung erlaubt, PowerShell Script Block Logging, Modulprotokollierung und Transcription. Die Endpoint-Überwachung sollte unter anderem Prozessstarts, Änderungen an geplanten Aufgaben und Registry-Persistenz, DNS-Abfragen sowie ausgehende TLS-Verbindungen erfassen. Diese Signale können helfen, den ursprünglichen Browser-Köder mit der späteren Ausführung und Netzwerkaktivität zu verknüpfen.

Genannte Infrastruktur blockieren und überwachen

Blockieren Sie gitnow[.]dev und prüfen Sie historische Verbindungen zu der Domain. Eine reine Domainsperre reicht jedoch nicht aus, da Angreifer ihre Infrastruktur austauschen können. Sie sollte mit verhaltensbasierter Überwachung kombiniert werden.

Die wichtigste Warnung für Nutzer ist einfach

Eine echte CAPTCHA-Prüfung kann einen Klick auf ein Kontrollkästchen oder eine Interaktion direkt im Browser verlangen. Sie sollte jedoch niemals dazu auffordern, ein Terminal zu öffnen, einen unbekannten Befehl einzufügen oder PowerShell auszuführen. Genau diese Anweisung ist bei TerminalFix das entscheidende Warnsignal für Social Engineering. 1 3

Für Unternehmen sollte die Schulung deshalb das konkrete Verhalten benennen: Niemals einen Befehl kopieren und ausführen, den eine Webseite angeblich zum Bestehen eines CAPTCHAs oder zur Behebung eines Browserproblems liefert. Wer eine solche Anweisung bereits befolgt hat, sollte den Vorfall sofort melden und das Gerät bis zur Prüfung nicht weiter benutzen.