TerminalFix: la trampa de la CAPTCHA falsa que abre un túnel hacia la red interna

TerminalFix es una campaña de ingeniería social documentada por Microsoft el 28 de agosto de 2026. Se trata de una variante de la técnica ClickFix: en lugar de aprovechar una vulnerabilidad del navegador, los atacantes convencen a la víctima para que ejecute código manualmente. El ataque comienza en un sitio web legítimo comprometido, pero puede terminar con un túnel inverso persistente que permite atravesar el equipo infectado y alcanzar servicios internos accesibles desde él. 1

Cómo funciona el ataque de la CAPTCHA falsa

La víctima visita un sitio web legítimo que ha sido modificado por los atacantes. Sobre la página aparece una superposición que imita a Cloudflare Turnstile, con la conocida instrucción de «verifica que eres humano».

La señal de alarma llega después: la página pide copiar un contenido y pegarlo en Windows Terminal o PowerShell.

Una CAPTCHA o una verificación de Turnstile se resuelve dentro del navegador. No requiere abrir una consola de comandos ni ejecutar contenido del portapapeles. TerminalFix se aprovecha de que el usuario interpreta la orden como parte del proceso de verificación, en lugar de reconocerla como código. 1

Al dirigir a las víctimas hacia Windows Terminal o PowerShell, los atacantes también pueden entregar comandos más complejos y de varias líneas que los cebos tradicionales basados en el cuadro «Ejecutar». 1

Una cadena de ataque por varias etapas

Una vez ejecutado el comando, la campaña atraviesa varias capas que mezclan actividad maliciosa con herramientas confiables y archivos aparentemente normales:

1. Descarga de un archivo comprimido: PowerShell descarga y descomprime un archivo ZIP en un directorio de apariencia oculta bajo C:\ProgramData.
2. Carga lateral de DLL: el archivo coloca el ejecutable firmado por Microsoft LockScreenContentServer.exe junto a archivos dui70.dll controlados por los atacantes. Cuando el ejecutable busca en su propia carpeta una biblioteca necesaria, carga la DLL maliciosa. El abuso se basa en la confianza asociada al ejecutable firmado; la DLL no se vuelve legítima por estar a su lado.
3. Cargas ocultas en imágenes: componentes posteriores se esconden dentro de datos de imágenes PNG mediante esteganografía, lo que dificulta su detección durante inspecciones básicas de archivos o descargas.
4. Persistencia: entradas de ejecución automática en el Registro y tareas programadas permiten que los componentes vuelvan a iniciarse después del inicio de sesión o en intervalos programados. 1

Para los equipos de defensa, esta estructura significa que bloquear un único nombre de archivo probablemente no bastará. Conviene correlacionar comportamientos como la ejecución de PowerShell, la extracción de archivos comprimidos, la escritura en ubicaciones inusuales, la carga de DLL, el acceso a imágenes y la creación de mecanismos de persistencia.

Qué información busca el malware

El análisis de Microsoft describe tareas de reconocimiento del sistema y de la red, incluidos el contexto del equipo, el usuario, los procesos, los servicios, las conexiones de red y la configuración de seguridad. El malware también realiza reconocimiento de Active Directory para identificar el entorno de dominio y los sistemas o cuentas que podrían resultar útiles para obtener acceso posterior. 1

Para los equipos de seguridad, las consultas sospechosas a servicios de directorio desde una estación de trabajo común merecen atención, especialmente si aparecen junto con la cadena de ejecución de TerminalFix. Entre las actividades relevantes están la enumeración de controladores de dominio, usuarios, grupos, relaciones de confianza, recursos compartidos, sistemas remotos o cuentas privilegiadas.

Por qué el túnel inverso aumenta el riesgo

El componente más relevante de la campaña es un implante Python llamado client.py, ejecutado mediante pythonw.exe. Como pythonw.exe no muestra una ventana de consola convencional, el proceso puede resultar menos visible para el usuario. 1

El cliente se comunica mediante TLS y WebSockets con gitnow[.]dev. Puede recibir instrucciones para conectarse desde el equipo de la víctima a una dirección y un puerto internos, y después retransmitir el tráfico TCP a través de la conexión WebSocket cifrada, con un funcionamiento similar al de un proxy SOCKS5. 1

En la práctica, el equipo infectado puede convertirse en un proxy de red controlado desde el exterior. El túnel no proporciona automáticamente acceso a todos los sistemas internos: siguen siendo determinantes la conectividad y los permisos disponibles. Sin embargo, puede exponer servicios que no son accesibles directamente desde internet, por lo que el incidente deja de ser solo una infección en un PC y pasa a convertirse en un posible problema de acceso a la red interna.

Indicadores y prioridades de detección

Es preferible buscar combinaciones de señales, en lugar de considerar concluyente un único artefacto:

• Una sesión del navegador seguida inmediatamente por la ejecución de Windows Terminal o PowerShell, sobre todo después de una CAPTCHA o un aviso de verificación.
• PowerShell que descarga, decodifica, descomprime o ejecuta contenido suministrado mediante el portapapeles.
• PowerShell ejecutado con una ventana oculta o escritura de archivos comprimidos y ejecutables en ubicaciones inusuales de ProgramData.
• LockScreenContentServer.exe ejecutándose fuera de su directorio habitual de Windows, especialmente junto a dui70.dll en una ubicación inusual o modificable por el usuario.
• Archivos PNG consultados poco antes de que aparezcan nuevas DLL, archivos Python, tareas programadas o entradas de ejecución automática.
• Valores nuevos o modificados en HKCU o HKLM bajo ...\CurrentVersion\Run.
• Tareas programadas con nombres inusuales, ejecución recurrente, rutas sospechosas, PowerShell, pythonw.exe o client.py entre sus acciones.
• pythonw.exe iniciado con un argumento client.py y tráfico TLS o WebSocket saliente hacia gitnow[.]dev.
• Reconocimiento de Active Directory y de la red desde una estación de trabajo que normalmente no realiza ese tipo de enumeración. 1

Busque gitnow[.]dev en los registros de DNS, proxy, firewall, EDR, TLS/SNI y WebSockets. Para obtener la lista completa de hashes, URL, rutas, nombres de tareas y reglas de detección, debe consultarse el aviso de Microsoft, ya que los nombres de archivo y la infraestructura pueden cambiar. 1

Qué hacer si se sospecha que el comando llegó a ejecutarse

1. Aísle el equipo. Desconecte el dispositivo sospechoso de la red y conserve, en la medida de lo posible, la memoria, los árboles de procesos, los registros de PowerShell, las definiciones de tareas programadas, las claves de persistencia, los registros DNS y proxy y la telemetría del EDR.
2. Bloquee y delimite el alcance. Bloquee los dominios y la infraestructura identificados en DNS, pasarelas web seguras, proxies, firewalls y controles de endpoint. Antes de reconectar sistemas, busque en toda la organización la misma secuencia de ejecución.
3. Proteja las identidades. Considere potencialmente expuestas las credenciales utilizadas o almacenadas en el equipo. Después de contener el incidente y determinar su alcance, cambie las contraseñas pertinentes y revoque sesiones y tokens activos, dando prioridad a cuentas privilegiadas, de dominio, en la nube, VPN, navegador, servicio y API accesibles desde el dispositivo.
4. Investigue la actividad interna. Revise la autenticación de Active Directory, el acceso remoto, los servidores de archivos, la VPN y las herramientas administrativas vinculadas al equipo y a su usuario.
5. Reinstale cuando corresponda. En sistemas confirmados como comprometidos, vuelva a crear la imagen del equipo cuando sea posible. Eliminar una sola DLL, tarea programada o clave de ejecución automática puede no retirar otros mecanismos de persistencia ni el acceso obtenido a través del túnel.

Controles para reducir el riesgo

Las organizaciones deberían restringir PowerShell y Windows Terminal según el perfil de cada puesto, utilizar controles de aplicaciones como WDAC o AppLocker cuando corresponda y no confiar únicamente en la política de ejecución como barrera de seguridad. El principio de mínimo privilegio y la eliminación de derechos innecesarios de administrador local reducen el impacto de un engaño exitoso.

El registro centralizado de bloques de script de PowerShell —incluido el evento 4104—, junto con el registro de módulos, la transcripción cuando sea adecuada, AMSI, la protección contra manipulaciones, la detección en endpoints y el registro de creación de procesos, puede ayudar a reconstruir la cadena de ejecución. Los controles web y del navegador también deberían vigilar redirecciones desde sitios comprometidos, inyección de scripts maliciosos, manipulación sospechosa del portapapeles e infraestructura de comando y control conocida. 1

La formación de los usuarios debe centrarse en una regla fácil de recordar: no pegues nunca comandos en Ejecutar, el símbolo del sistema, PowerShell o Windows Terminal porque lo indique una web, una CAPTCHA, un error del navegador, un anuncio o una página de soporte. Cierra la página y comunica su URL al equipo correspondiente.

TerminalFix demuestra que los componentes confiables también pueden formar parte de una cadena maliciosa. Un ejecutable firmado, Python, TLS, WebSockets, una imagen y un sitio web legítimo pueden parecer normales por separado. Por eso, una defensa eficaz depende de correlacionar comportamientos, aislar rápidamente los equipos y proteger las identidades, no solo de bloquear un nombre de archivo o una firma. 1