TerminalFix naamioi haitallisen PowerShell-komennon CAPTCHA-tarkistukseksi

TerminalFix on Microsoftin seuraama ClickFix-kampanja, jossa tavallinen tietoturvatarkistus korvataan vaarallisella ohjeella: käyttäjää pyydetään avaamaan Windows Terminal tai PowerShell, liittämään sivulta kopioitu komento ja suorittamaan se. Microsoft kuvasi toimintaa 28. elokuuta 2026 muunnelmaksi, joka hyödyntää murrettuja verkkosivustoja ja väärennettyä Cloudflare CAPTCHA -tarkistusta monivaiheisen tunkeutumisen käynnistämiseen. 3

Kyse ei ole vain yksittäisestä haittaohjelmalatauksesta. Hyökkäyksen raportoitu lopputulos on käänteinen tunnelointikomponentti, joka voi tarjota verkkotason välityspalveluyhteyden saastuneen Windows-koneen kautta. Tämä voi antaa hyökkääjälle reitin kohti sisäverkon järjestelmiä ja palveluita. 3 15

Näin TerminalFix-hyökkäys etenee

1. Aito verkkosivusto muuttuu levityskanavaksi

Hyökkääjät murtautuvat muuten laillisille verkkosivustoille ja lisäävät niiden päälle Cloudflare Turnstile -tarkistusta muistuttavan CAPTCHA-ikkunan. Kehote näyttää tavalliselta ”vahvista, että olet ihminen” -tarkistukselta, mutta ohjaa kävijän kopioimaan ja liittämään komennon Windows Terminaliin tai PowerShelliin. 3 29

Tämä on kampanjan olennainen ero aiempiin ClickFix-hyökkäyksiin nähden. Perinteisissä ClickFix-ansoissa uhri ohjataan usein Windowsin Suorita-ikkunaan. TerminalFix käyttää sen sijaan Windows Terminalia tai PowerShelliä, jolloin pidempi ja monirivinen komentosarja on helpompi saada suoritettua kokonaisuudessaan. 1 3

2. PowerShell lataa sivulataukseen tarvittavat tiedostot

Käyttäjän liittämä PowerShell-komentoketju lataa ZIP-arkiston, jossa on kaksi keskeistä tiedostoa:

• aidosti allekirjoitettu LockScreenContentServer.exe
• haitallinen dui70.dll

Kun allekirjoitettu suoritettava tiedosto käynnistetään, se lataa hyökkääjän hallitseman DLL-kirjaston niin sanotulla DLL-sivulatauksella. Allekirjoitetun ohjelman käyttäminen voi saada ketjun näyttämään vähemmän epäilyttävältä kuin tuntemattoman suoritettavan tiedoston käynnistäminen suoraan. Saatavilla oleva raportointi vahvistaa tiedostonimet, mutta ei tarkkoja tiivisteitä eikä sitä, että laillista suoritettavaa tiedostoa olisi muokattu. 29

3. PNG-kuviin piilotetaan seuraavan vaiheen sisältö

Kampanja piilottaa myöhemmän vaiheen komponentteja PNG-kuvatiedostoihin steganografian avulla. Tiedostot luetaan ja puretaan paikallisesti, joten kaikkia hyökkäyksen vaiheita ei tarvitse ladata koneelle selvästi tunnistettavina suoritettavina tiedostoina. 10 29

4. Pysyvyys ja tiedustelu seuraavat

Raportoidussa toiminnassa pysyvyys varmistetaan sekä rekisterin Run-merkinnällä että ajoitetulla tehtävällä. Lisäksi hyökkäys kartoittaa laitteen ja Active Directory -ympäristön ennen tunnelin käyttöönottoa. Tämä kasvattaa riskiä huomattavasti alkuperäistä tartunnan saanutta työasemaa laajemmalle. 4 29

Yhdistelmä on puolustajille tärkeä huomio: käyttäjä, joka suoritti valekuvakaappauksen yhteydessä annetun komennon, ei välttämättä kärsi vain yksittäisen työaseman tartunnasta. Koneesta voi tulla tiedustelun ja verkkoon pääsyn välietappi.

5. Python-komponentti muodostaa käänteisen tunnelin

Kampanja asentaa Python-pohjaisen käänteisen tunnelin, joka käynnistetään pythonw.exe-ohjelman kautta. Se muodostaa TLS- ja WebSocket-yhteyden osoitteeseen gitnow[.]dev TCP-portissa 443 ja välittää SOCKS5-tyyppistä TCP-liikennettä. Käytännössä saastunut tietokone voi toimia välityspalvelimena hyökkääjän ja uhrin verkosta tavoitettavien resurssien välillä. 3 10

Siksi Microsoftin kuvaus verkkotason välityspalveluyhteydestä on merkittävämpi kuin tavanomainen tietovarastajaa koskeva hälytys. Hyökkääjän tavoitteena voi olla ensimmäisen koneen tietojen keräämisen lisäksi pääsy sisäverkon palveluihin. 3 15

Tutkittavat merkit

Saatavilla olevissa lähteissä ei ole Microsoftin täydellistä IOC-taulukkoa, tiedostotiivisteitä tai kaikkia komento- ja pysyvyysnimiä. Alla olevia havaintoja kannattaa siksi käyttää metsästyksen lähtökohtina, ei alkuperäisten Microsoft-tunnisteiden korvikkeena.

Verkkoliikenne

• DNS-, välityspalvelin-, palomuuri- ja TLS- tai WebSocket-yhteydet osoitteeseen gitnow[.]dev
• epätavallinen ulospäin suuntautuva TCP/443-liikenne käyttäjän työasemilta
• yhteydet, jotka alkavat pian epäilyttävän selainistunnon tai PowerShell-suorituksen jälkeen

Prosessit ja tiedostot

• pythonw.exe käynnissä odottamattomasta hakemistosta
• pythonw.exe, jonka käynnistäjä on PowerShell, Windows Terminal tai LockScreenContentServer.exe
• LockScreenContentServer.exe samassa hakemistossa kuin dui70.dll
• ZIP-arkistot, jotka on ladattu käyttäjäprofiilin tai väliaikaistiedostojen hakemistoihin
• PNG-tiedostot, joita PowerShell tai Python lukee tai purkaa
• Python-komentosarjat, tulkit tai sulautetut ajonaikaiset ympäristöt, jotka käynnistetään käyttäjän kirjoitettavissa olevista hakemistoista

Pysyvyys

• uudet tai entuudestaan tuntemattomat rekisterin Run-merkinnät
• ajoitetut tehtävät, jotka käynnistävät PowerShellin, Pythonin, pythonw.exe:n tai tiedostoja hakemistoista kuten %AppData%, %LocalAppData%, %Temp% ja Lataukset

Komentorivin toiminta

• vuorovaikutteinen PowerShell- tai Windows Terminal -käyttö heti selainistunnon jälkeen
• lataus-, purku- ja suoritusketjut
• koodattu tai voimakkaasti obfuskoitu PowerShell
• komennot, jotka käyttäjä on liittänyt päätteeseen CAPTCHA- tai vahvistusvaiheen aikana

Mitä tehdä epäillyn altistumisen jälkeen?

Eristä kone ensin ja säilytä todisteet

Irrota epäilty laite verkosta organisaation omien poikkeamanhallintaohjeiden mukaisesti ja säilytä samalla olennaiset päätelaite-, selain-, prosessi- ja verkkotiedot. Tutki laitteen lisäksi siihen liittyvä käyttäjätili ja ulospäin suuntautuvat yhteydet. Tapausta ei pidä käsitellä tavallisena ei-toivotun latauksen ongelmana.

Selvitä mahdollinen sisäinen pääsy

Etsi edellä mainittuja merkkejä päätelaitteista, DNS-lokeista, välityspalvelimista, palomuureista, identiteettijärjestelmistä ja etäkäyttölokeista. Tarkista Active Directory- ja toimialueen ohjainkoneiden telemetriasta tiedustelu, epäilyttävät tili- tai ryhmäkyselyt sekä merkit sivuttaisliikkeestä. Käänteinen tunneli tekee sisäverkon tavoitettavuuden selvittämisestä erityisen tärkeää. 4 29

Vaihda mahdollisesti paljastuneet tunnistetiedot

Nollaa altistuneiden käyttäjien salasanat ja mitätöi aktiiviset istunnot tai tunnukset. Aseta etusijalle järjestelmänvalvojien, palvelutilien ja muiden etuoikeutettujen tilien tunnistetiedot, joita käytettiin saastuneella koneella – etenkin jos koneella oli yhteys arkaluonteisiin järjestelmiin.

Rajoita riskialtista suorittamista

Rajaa PowerShellin ja Windows Terminalin käyttö hyväksytyille ylläpito- ja kehitysryhmille aina kun se on mahdollista. Hyödynnä vähimpien oikeuksien periaatetta ja sovellusten hallintaa. Hälytä hyväksymättömistä Python-tulkeista sekä ohjelmien käynnistämisestä käyttäjän kirjoitettavissa olevista hakemistoista.

Paranna näkyvyyttä

Ota käyttöön PowerShellin Script Block Logging- ja moduulilokitus sekä tilanteen mukaan komentojen tekstimuotoinen lokitus eli transkriptio. Varmista, että päätelaitteiden valvonta kattaa prosessien käynnistymisen, ajoitettujen tehtävien muutokset, rekisteriin tehdyn pysyvyyden, DNS-kyselyt ja lähtevät TLS-yhteydet. Näiden tietojen avulla selaimessa näytetty houkutin voidaan yhdistää myöhempään suoritukseen ja verkkoliikenteeseen.

Estä ja seuraa raportoitua infrastruktuuria

Estä yhteydet osoitteeseen gitnow[.]dev ja tutki aiemmat yhteydet siihen. Pelkkään verkkotunnuksen estoon ei kuitenkaan pidä luottaa, sillä hyökkääjien käyttämä infrastruktuuri voi vaihtua.

Käyttäjälle tärkein varoitus on yksinkertainen

Aito CAPTCHA voi pyytää napsauttamaan ruutua tai suorittamaan muun selaimessa tapahtuvan toimenpiteen. Se ei kuitenkaan pyydä avaamaan päätettä, liittämään tuntematonta komentoa tai suorittamaan PowerShelliä. Juuri tämä ohje on TerminalFixin ratkaiseva sosiaalisen manipuloinnin varoitusmerkki. 1 3

Organisaatioiden käyttäjäkoulutuksessa kannattaa nimetä vältettävä toiminta täsmällisesti: verkkosivun tarjoamaa komentoa ei pidä koskaan kopioida ja suorittaa vain CAPTCHA-tarkistuksen läpäisemiseksi tai selainongelman ”korjaamiseksi”. Jos ohjetta on jo noudatettu, ilmoita tapauksesta heti ja lopeta laitteen käyttö, kunnes se on tutkittu.