TerminalFix: Die gefährliche CAPTCHA-Falle für Windows-Nutzer

TerminalFix ist eine von Microsoft am 28. August 2026 beschriebene Social-Engineering-Kampagne und eine Variante der ClickFix-Technik. Statt eine Browser-Schwachstelle auszunutzen, bringen die Angreifer ihre Opfer dazu, selbst einen schädlichen Befehl auszuführen. Der Angriff beginnt auf einer kompromittierten, eigentlich legitimen Website und kann mit einem dauerhaften Reverse-Tunnel enden. Dieser verschafft dem Angreifer über den infizierten Windows-PC einen Weg zu erreichbaren internen Diensten. 1

So funktioniert die gefälschte CAPTCHA-Prüfung

Besucht ein Nutzer eine manipulierte Website, erscheint ein täuschend echt wirkendes Fenster im Stil von Cloudflare Turnstile mit der Aufforderung, die eigene Identität als Mensch zu bestätigen. Der entscheidende Schritt folgt danach: Die Seite fordert dazu auf, Inhalte zu kopieren und in Windows Terminal oder PowerShell einzufügen.

Genau das ist das Warnsignal. CAPTCHA- und Turnstile-Prüfungen finden im Browser statt. Sie verlangen nicht, eine Kommandozeile zu öffnen oder Inhalte aus der Zwischenablage auszuführen. TerminalFix setzt darauf, dass Nutzer den Befehl für einen Teil des Prüfprozesses halten und nicht als Programmcode erkennen. 1

Die Aufforderung an Windows Terminal oder PowerShell bietet den Angreifern zudem mehr Möglichkeiten als ein klassischer Köder für das Ausführen-Dialogfeld: So können auch komplexere, mehrzeilige Befehle übertragen und ausgeführt werden. 1

Die mehrstufige Schadsoftware-Kette

Nach dem Start des Befehls folgt eine Kette aus mehreren Schichten. Dabei werden vertrauenswürdige Werkzeuge und unauffällige Dateien missbraucht:

1. Archiv herunterladen: PowerShell lädt ein ZIP-Archiv herunter und entpackt es in ein unauffällig wirkendes Verzeichnis unter C:\ProgramData.
2. DLL-Sideloading: Im Archiv liegt die von Microsoft signierte Datei LockScreenContentServer.exe neben von den Angreifern kontrollierten dui70.dll-Dateien. Sucht die legitime ausführbare Datei in ihrem eigenen Verzeichnis nach einer benötigten Bibliothek, lädt sie stattdessen die schädliche DLL. Die Signatur der EXE-Datei macht die DLL dabei nicht vertrauenswürdig.
3. Verborgene Payloads: Weitere Komponenten werden in PNG-Bilddaten versteckt. Diese Steganografie erschwert eine einfache Prüfung von Dateien und Downloads.
4. Persistenz: Einträge unter den Registry-Run-Schlüsseln und geplante Aufgaben sorgen dafür, dass sich Komponenten nach der Anmeldung oder in festgelegten Abständen erneut starten. 1

Für die Abwehr bedeutet das: Das Blockieren eines einzelnen Dateinamens reicht wahrscheinlich nicht aus. Entscheidend ist die Verbindung mehrerer Verhaltensmuster – PowerShell-Ausführung, Archiv-Entpacken, ungewöhnliche Dateien unter ProgramData, DLL-Ladevorgänge, Bildzugriffe und Persistenzmechanismen.

Welche Informationen die Schadsoftware sammelt

Microsoft beschreibt eine umfassende Erkundung des Systems und Netzwerks. Dazu gehören Informationen über System, Benutzer, Prozesse, Dienste, Netzwerkverbindungen und den Sicherheitskontext. Zusätzlich führt die Schadsoftware eine Aufklärung der Active-Directory-Umgebung durch, um Domäne, Systeme und möglicherweise interessante Konten zu identifizieren. 1

Für Sicherheitsteams sind verdächtige Abfragen an Verzeichnisdienste besonders relevant, wenn sie gemeinsam mit der TerminalFix-Ausführung auftreten. Dazu zählen beispielsweise die Suche nach Domänencontrollern, Benutzern, Gruppen, Vertrauensstellungen, Freigaben, entfernten Systemen oder privilegierten Konten.

Warum der Reverse-Tunnel das Risiko erhöht

Besonders folgenreich ist ein Python-Implantat namens client.py, das mit pythonw.exe gestartet wird. Da pythonw.exe normalerweise kein Konsolenfenster anzeigt, kann der Prozess für den Nutzer weniger auffällig sein als ein herkömmliches Kommandozeilenprogramm. 1

Der Client kommuniziert ausgehend über TLS und WebSockets mit gitnow[.]dev. Er kann Anweisungen erhalten, vom infizierten Rechner aus eine Verbindung zu einer internen Adresse und einem Port aufzubauen. Den dabei entstehenden TCP-Datenverkehr leitet er anschließend über die verschlüsselte WebSocket-Verbindung weiter – nach einem SOCKS5-ähnlichen Modell. 1

Praktisch wird der infizierte Computer damit zu einem von außen steuerbaren Netzwerk-Proxy. Der Tunnel ermöglicht nicht automatisch den Zugriff auf jedes interne System; Erreichbarkeit und Berechtigungen bleiben entscheidend. Er kann jedoch Dienste erreichbar machen, die nicht direkt aus dem öffentlichen Internet zugänglich sind. Aus einem Malware-Vorfall auf einem einzelnen PC wird dadurch ein mögliches Problem für den Zugriff auf das interne Netzwerk.

Wichtige Hinweise für Erkennung und Suche

Keines der folgenden Merkmale ist allein ein eindeutiger Beweis. Sicherheitsteams sollten vor allem Kombinationen und zeitliche Zusammenhänge prüfen:

• Eine Browser-Sitzung, auf die unmittelbar Windows Terminal oder PowerShell folgt – insbesondere nach einer CAPTCHA- oder Verifizierungsaufforderung.
• PowerShell, die Inhalte aus der Zwischenablage herunterlädt, dekodiert, entpackt oder ausführt.
• PowerShell mit verborgenem Fenster sowie Archive und ausführbare Dateien in ungewöhnlichen Verzeichnissen unter ProgramData.
• LockScreenContentServer.exe außerhalb des erwarteten Windows-Verzeichnisses, insbesondere neben dui70.dll an einem ungewöhnlichen oder vom Benutzer beschreibbaren Speicherort.
• PNG-Dateien, auf die kurz vor dem Auftauchen neuer DLLs, Python-Dateien, geplanter Aufgaben oder Registry-Run-Einträge zugegriffen wird.
• Neue oder veränderte Werte unter HKCU oder HKLM in ...\CurrentVersion\Run.
• Ungewöhnlich benannte geplante Aufgaben mit wiederkehrender Ausführung, verdächtigen Pfaden oder Aktionen mit PowerShell, pythonw.exe oder client.py.
• pythonw.exe mit einem Argument wie client.py sowie ausgehende TLS- oder WebSocket-Verbindungen zu gitnow[.]dev.
• Active-Directory- und Netzwerkaufklärung von einem Arbeitsplatzrechner, der solche Abfragen normalerweise nicht durchführt. 1

DNS-, Proxy-, Firewall-, EDR-, TLS/SNI- und WebSocket-Protokolle sollten auf gitnow[.]dev durchsucht werden. Für vollständige Hashes, URLs, Dateipfade, Aufgabennamen und weitere Erkennungshinweise sollten sich Teams auf die vollständige Microsoft-Analyse stützen, da Dateinamen und Infrastruktur wechseln können. 1

Was nach einer vermuteten Ausführung zu tun ist

1. Endgerät isolieren: Den betroffenen Rechner vom Netzwerk trennen, dabei aber Arbeitsspeicher, Prozessketten, PowerShell-Protokolle, Definitionen geplanter Aufgaben, Persistenzschlüssel, DNS- und Proxy-Aufzeichnungen sowie EDR-Telemetrie sichern.
2. Blockieren und ausweiten: Bekannte Domains und Zustell-Infrastruktur in DNS, Secure Web Gateways, Proxys, Firewalls und Endpoint-Schutzsystemen blockieren. Vor einer erneuten Verbindung nach weiteren Geräten mit derselben Ausführungskette suchen.
3. Identitäten schützen: Davon ausgehen, dass auf dem Rechner verwendete oder gespeicherte Zugangsdaten offengelegt worden sein könnten. Nach der Eindämmung und einer ersten Untersuchung relevante Passwörter ändern sowie aktive Sitzungen und Token widerrufen – zuerst privilegierte Konten, Domänen-, Cloud-, VPN-, Browser-, Dienst- und API-Zugänge.
4. Interne Aktivitäten untersuchen: Active-Directory-Anmeldungen, Fernzugriffe, Dateiserver-, VPN- und Administrationsaktivitäten des Geräts und seines Benutzers prüfen.
5. Neuaufsetzen erwägen: Bestätigt kompromittierte Systeme möglichst neu installieren oder per Re-Image wiederherstellen. Das Löschen einer einzelnen DLL, geplanten Aufgabe oder Registry-Run-Einstellung entfernt nicht zwingend weitere Persistenz oder Zugänge, die über den Tunnel eingerichtet wurden.

Maßnahmen zur Risikoreduzierung

Organisationen sollten PowerShell und Windows Terminal entsprechend den jeweiligen Rollen einschränken und, wo sinnvoll, Application-Control-Techniken wie WDAC oder AppLocker einsetzen. Eine Ausführungsrichtlinie allein ist keine belastbare Sicherheitsgrenze. Das Prinzip der geringsten Rechte und der Verzicht auf unnötige lokale Administrationsrechte begrenzen die Folgen eines erfolgreichen Köders.

Zentral erfasste PowerShell-Skriptblockprotokollierung, einschließlich Ereignis-ID 4104, kann zusammen mit Modulprotokollierung und – wo angemessen – Transkription helfen, die Ausführungskette nachzuvollziehen. Ergänzend sollten AMSI, Endpoint Detection and Response, Manipulationsschutz sowie Protokollierung von Prozesserstellung und Befehlszeilen aktiviert sein. Browser- und Web-Sicherheitskontrollen sollten außerdem kompromittierte Weiterleitungen, eingeschleusten JavaScript-Code, verdächtige Manipulationen der Zwischenablage und bekannte Command-and-Control-Infrastruktur überwachen. 1

Für die Schulung genügt eine klare Regel:

Niemals Befehle in „Ausführen“, die Eingabeaufforderung, PowerShell oder Windows Terminal einfügen, nur weil eine Website, ein CAPTCHA, eine Fehlermeldung, eine Werbung oder eine Support-Seite dazu auffordert.

Die Seite sollte geschlossen und ihre URL gemeldet werden.

TerminalFix zeigt, wie harmlose Einzelteile zu einer gefährlichen Angriffskette kombiniert werden können: eine signierte ausführbare Datei, Python, TLS, WebSockets, Bilddateien und eine legitime Website. Wirksame Abwehr besteht deshalb nicht nur aus dem Blockieren einzelner Dateinamen oder Signaturen. Entscheidend sind die Korrelation von Verhalten, die schnelle Isolation betroffener Endgeräte und der rasche Schutz kompromittierter Identitäten. 1