TerminalFix: el ataque que usa CAPTCHA falsos para abrir un túnel inverso en Windows

TerminalFix es una campaña de Microsoft y una variante de la técnica de ingeniería social ClickFix. En lugar de limitarse a descargar un malware, engaña al usuario para que abra Windows Terminal o PowerShell, pegue un comando y lo ejecute. Microsoft describió la actividad el 28 de agosto de 2026 como una intrusión de varias fases que utiliza sitios web comprometidos y verificaciones CAPTCHA falsas con apariencia de Cloudflare. 3

El resultado va más allá de una infección puntual: el implante desplegado puede ofrecer acceso de proxy a nivel de red mediante un túnel inverso. Eso podría proporcionar al operador una ruta hacia sistemas y servicios internos accesibles desde el equipo comprometido. 3 15

Así funciona el ataque TerminalFix

1. Un sitio legítimo se convierte en el señuelo

Los atacantes comprometen sitios web que, en principio, son legítimos y superponen una pantalla falsa de Cloudflare Turnstile. El mensaje parece una comprobación rutinaria para «verificar que eres humano», pero pide al visitante copiar y pegar un comando en Windows Terminal o PowerShell. 3 29

Este cambio es importante. Las campañas ClickFix tradicionales suelen dirigir a la víctima al cuadro Ejecutar de Windows; TerminalFix utiliza Windows Terminal o PowerShell, lo que facilita la ejecución de scripts más complejos y de varias líneas. 1 3

2. PowerShell descarga los componentes

La cadena de PowerShell pegada por la víctima descarga un archivo ZIP con dos elementos principales:

• El ejecutable legítimamente firmado LockScreenContentServer.exe.
• La DLL maliciosa dui70.dll.

Al iniciarse el ejecutable firmado, este carga la DLL controlada por los atacantes mediante DLL sideloading. El uso de un binario firmado puede hacer que la cadena resulte menos sospechosa que la ejecución directa de un archivo desconocido. Los informes proporcionados identifican esos nombres, pero no confirman hashes concretos ni que el ejecutable legítimo haya sido modificado. 29

3. Las imágenes PNG ocultan las siguientes fases

La campaña esconde componentes posteriores dentro de archivos PNG mediante esteganografía. Después, esos archivos se leen y decodifican localmente. De este modo, el ataque puede recuperar código adicional sin presentar cada etapa como una descarga evidente de un ejecutable. 10 29

4. Se establece persistencia y comienza el reconocimiento

La actividad descrita crea persistencia mediante una entrada Run del Registro de Windows y una tarea programada. También recopila información del equipo y realiza reconocimiento de Active Directory antes de desplegar el túnel, lo que eleva el riesgo para toda la red y no solo para el ordenador inicialmente infectado. 4 29

Para los equipos de defensa, la combinación es especialmente relevante: si un usuario ejecutó el comando del CAPTCHA falso, no necesariamente se trata de una infección aislada. El dispositivo puede convertirse en un punto de apoyo para descubrir recursos y facilitar el acceso a la red.

5. Un implante de Python crea el túnel inverso

La campaña despliega un componente de túnel inverso basado en Python a través de pythonw.exe. Este se comunica con gitnow[.]dev mediante TLS y WebSockets en el puerto TCP 443, y retransmite tráfico TCP de tipo SOCKS5. En la práctica, el equipo infectado puede actuar como un proxy entre el operador y los recursos a los que se puede llegar desde la red de la víctima. 3 10

Por eso la descripción de Microsoft —acceso de proxy a nivel de red— resulta más preocupante que una alerta convencional sobre un ladrón de información: el objetivo puede ser alcanzar sistemas internos, no solo recopilar datos del primer equipo comprometido. 3 15

Indicadores que conviene investigar

Las fuentes proporcionadas no incluyen una tabla completa de IOCs de Microsoft, hashes ni todos los nombres de comandos y mecanismos de persistencia. Por tanto, los siguientes elementos deben utilizarse como pistas de búsqueda y no como sustituto de las detecciones originales de Microsoft.

Actividad de red

• Consultas DNS y conexiones de proxy, firewall, TLS o WebSocket hacia gitnow[.]dev.
• Tráfico saliente inusual por TCP/443 desde estaciones de trabajo de usuarios.
• Conexiones iniciadas poco después de una sesión sospechosa del navegador o de la ejecución de PowerShell.

Procesos y archivos

• pythonw.exe ejecutándose desde un directorio inesperado.
• pythonw.exe iniciado por PowerShell, Windows Terminal o LockScreenContentServer.exe.
• LockScreenContentServer.exe ubicado junto a dui70.dll.
• Archivos ZIP descargados en carpetas del perfil del usuario o directorios temporales.
• Archivos PNG leídos o decodificados por PowerShell o Python.
• Scripts, intérpretes o entornos de ejecución de Python iniciados desde rutas en las que el usuario puede escribir.

Persistencia

• Nuevas entradas Run del Registro que no resulten familiares.
• Tareas programadas que inicien PowerShell, Python, pythonw.exe o archivos ubicados en %AppData%, %LocalAppData%, %Temp%, Descargas u otras rutas similares.

Comportamiento en la línea de comandos

• Actividad interactiva de PowerShell o Windows Terminal inmediatamente después de visitar una página web.
• Cadenas que descarguen, decodifiquen y ejecuten contenido.
• PowerShell codificado u ofuscado de forma intensa.
• Comandos pegados en un terminal durante un supuesto CAPTCHA o proceso de verificación.

Qué hacer ante una posible exposición

Aislar primero y conservar las pruebas

Desconecta el equipo sospechoso de la red siguiendo el procedimiento de respuesta a incidentes de la organización, pero conserva las evidencias relevantes del dispositivo, el navegador, los procesos y la red. Analiza el equipo, la cuenta de usuario y sus conexiones salientes; no trates el caso como una simple descarga no deseada.

Comprobar si hubo acceso interno

Busca los indicadores anteriores en los registros de los equipos, DNS, proxy, firewall, identidad y acceso remoto. Revisa la telemetría de Active Directory y de los controladores de dominio para detectar reconocimiento, consultas sospechosas de cuentas o grupos y señales de movimiento lateral. La capacidad de túnel inverso hace especialmente importante determinar qué recursos internos podía alcanzar el equipo. 4 29

Rotar las credenciales potencialmente expuestas

Restablece las credenciales y revoca las sesiones o tokens activos de los usuarios afectados. Da prioridad a las cuentas privilegiadas, de servicio y de administración utilizadas en el equipo comprometido, sobre todo si este tenía acceso a sistemas sensibles.

Restringir las rutas de ejecución de mayor riesgo

Limita el acceso a PowerShell y Windows Terminal a los grupos administrativos o de desarrollo autorizados cuando sea viable. Aplica el principio de mínimo privilegio y controles de aplicaciones, y genera alertas ante intérpretes de Python no aprobados o ejecuciones desde carpetas modificables por el usuario.

Mejorar la visibilidad

Activa, cuando corresponda, el registro de bloques de script de PowerShell, el registro de módulos y la transcripción. Asegúrate de que la telemetría de los endpoints cubra la creación de procesos, los cambios en tareas programadas, la persistencia en el Registro, las consultas DNS y las conexiones TLS salientes. Estas señales pueden ayudar a relacionar el señuelo inicial del navegador con la ejecución posterior y la actividad de red.

Bloquear y vigilar la infraestructura identificada

Bloquea gitnow[.]dev e investiga las conexiones históricas con ese dominio. El bloqueo debe combinarse con la monitorización del comportamiento, ya que la infraestructura controlada por los atacantes puede cambiar.

La señal de alarma para cualquier usuario

Un CAPTCHA legítimo puede pedir que hagas clic en una casilla o completes una interacción dentro del navegador. No debería pedirte que abras un terminal, pegues un comando desconocido o ejecutes PowerShell. Esa instrucción es la señal decisiva de ingeniería social en TerminalFix. 1 3

La regla práctica es sencilla: nunca copies y ejecutes un comando proporcionado por una página web solo para superar un CAPTCHA o «solucionar» un problema del navegador. Si ya lo has hecho, informa de inmediato al equipo de soporte o seguridad y deja de utilizar el dispositivo hasta que sea revisado.