TerminalFix selitettynä: kuinka valheelliset CAPTCHA-testit muuttavat Windows-koneen hyökkääjän välityspalvelimeksi

Microsoft kuvasi 28. elokuuta 2026 TerminalFix-kampanjan, joka on ClickFix-tekniikan muunnelma. Hyökkäys ei perustu selaimen haavoittuvuuden hyödyntämiseen, vaan käyttäjän huijaamiseen niin, että tämä suorittaa koodia itse. Lopputuloksena Windows-laite voi saada pysyvän käänteistunnelin, jonka kautta hyökkääjä voi yrittää tavoittaa tartunnan saaneen koneen näkyvissä olevia sisäverkon palveluja. 1

Näin valheellinen CAPTCHA-huijaus toimii

Uhri päätyy hyökkääjän muokkaamalle, muuten aidolta vaikuttavalle verkkosivulle. Sivulle ilmestyy Cloudflare Turnstile -tarkistusta muistuttava päällekkäinen ikkuna, jossa pyydetään vahvistamaan, että käyttäjä on ihminen.

Ratkaiseva varoitusmerkki tulee seuraavaksi: sivu ohjaa käyttäjää kopioimaan sisältöä ja liittämään sen Windows Terminaliin tai PowerShelliin.

CAPTCHA- ja Turnstile-tarkistukset ovat selaimessa toimivia vuorovaikutuksia. Niissä ei tarvitse avata komentoriviä eikä suorittaa leikepöydän sisältöä. TerminalFix luottaa siihen, että käyttäjä pitää komentoa osana vahvistusta eikä tunnista sitä koodiksi. 1

Windows Terminalin ja PowerShellin käyttäminen antaa hyökkääjille myös mahdollisuuden toimittaa monimutkaisempia ja monirivisiä komentoja kuin perinteinen Suorita-ikkunaan perustuva huijaus. 1

Monivaiheinen haittaohjelmaketju

Kun käyttäjä suorittaa komennon, hyökkäys etenee usean vaiheen kautta. Haitallinen toiminta pyritään naamioimaan luotettujen Windows-komponenttien ja tavallisen näköisten tiedostojen sekaan:

1. Arkiston lataus: PowerShell lataa ZIP-arkiston ja purkaa sen piilotetun oloiseen hakemistoon C:\ProgramData-polun alle.
2. DLL-sivulataus: Arkistoon sijoitetaan Microsoftin allekirjoittama LockScreenContentServer.exe sekä hyökkääjien hallitsemat dui70.dll-tiedostot. Kun suoritettava tiedosto etsii tarvitsemansa kirjaston omasta hakemistostaan, se lataa haitallisen DLL:n. Allekirjoitettu ohjelma on aito, mutta sen rinnalle asetettu kirjasto ei ole.
3. Steganografia: Myöhemmät osat piilotetaan PNG-kuvien dataan, jolloin haitallinen sisältö ei erotu helposti tavallisessa tiedosto- tai lataustarkastuksessa.
4. Pysyvyys: Rekisterin Run-merkinnät ja ajoitetut tehtävät käynnistävät komponentteja uudelleen käyttäjän kirjautuessa tai määritetyin aikavälein. 1

Tietoturvan kannalta tämä tarkoittaa, ettei yhden tiedostonimen estäminen todennäköisesti riitä. Valvonnassa pitäisi yhdistää PowerShellin käynnistyminen, arkiston purkaminen, poikkeava tiedostojen sijoittelu, DLL-lataus, kuvien käsittely ja pysyvyyden luominen samaan tapahtumaketjuun.

Mitä haittaohjelma etsii?

Microsoftin analyysin mukaan haittaohjelma kartoittaa järjestelmää, käyttäjää, prosesseja, palveluja, verkkoa ja tietoturvakontekstia. Se tekee myös Active Directory -tiedustelua selvittääkseen toimialueympäristöä sekä järjestelmiä ja käyttäjätilejä, joista voisi olla hyötyä jatkohyökkäyksessä. 1

Tietoturvatiimien kannattaa kiinnittää huomiota tavalliselta työasemalta tuleviin epäilyttäviin hakemistopalvelukyselyihin etenkin silloin, kun ne esiintyvät yhdessä TerminalFixin suoritusketjun kanssa. Huomionarvoista voi olla toimialueen ohjauskoneiden, käyttäjien, ryhmien, luottamussuhteiden, verkkojakamisten, etäjärjestelmien tai etuoikeutettujen tilien kartoittaminen.

Miksi käänteistunneli on erityisen vaarallinen?

Kampanjan merkittävin osa on Pythonin client.py-implantti, joka käynnistetään pythonw.exe-ohjelmalla. Koska pythonw.exe ei yleensä avaa tavallista konsoli-ikkunaa, käyttäjä ei välttämättä huomaa prosessia samalla tavalla kuin perinteistä komentoriviohjelmaa. 1

Asiakasohjelma muodostaa TLS- ja WebSocket-yhteyden palveluun gitnow[.]dev. Se voi saada ohjeen yhdistää tartunnan saaneelta koneelta tiettyyn sisäverkon osoitteeseen ja porttiin sekä välittää syntyvää TCP-liikennettä salatun WebSocket-yhteyden kautta SOCKS5:n kaltaisella tavalla. 1

Käytännössä Windows-koneesta voi tulla ulkopuolelta ohjattava verkkovälityspalvelin. Tunneli ei automaattisesti anna pääsyä kaikkiin organisaation järjestelmiin: koneen verkkoyhteydet ja käyttöoikeudet rajoittavat edelleen tavoitettavuutta. Se voi kuitenkin avata reitin palveluihin, jotka eivät ole suoraan saavutettavissa julkisesta internetistä. Siksi kyse ei ole enää vain yhdestä saastuneesta työasemasta, vaan mahdollisesta sisäverkon pääsyongelmasta.

Tärkeimmät havainnointi- ja metsästyskohteet

Yksittäinen merkki ei vielä todista tartuntaa. Etsi erityisesti seuraavien tapahtumien yhdistelmiä:

• Selainistunto, jota seuraa heti Windows Terminalin tai PowerShellin käynnistyminen esimerkiksi CAPTCHA- tai vahvistuskehotteen jälkeen.
• PowerShell, joka lataa, purkaa, dekoodaa tai suorittaa leikepöydältä saatua sisältöä.
• Piilotettuna käynnistetty PowerShell tai arkistojen ja suoritettavien tiedostojen kirjoittaminen epätavallisiin ProgramData-hakemistoihin.
• LockScreenContentServer.exe käynnissä muualla kuin odotetussa Windows-hakemistossa, erityisesti dui70.dll-tiedoston rinnalla epätavallisessa tai käyttäjän kirjoitettavissa olevassa sijainnissa.
• PNG-tiedostojen käsittely juuri ennen uusien DLL- tai Python-tiedostojen, ajoitettujen tehtävien tai Run-merkintöjen ilmestymistä.
• Uudet tai muokatut HKCU- tai HKLM-rekisterin ...\CurrentVersion\Run-arvot.
• Ajoitetut tehtävät, joiden nimi on epätavallinen tai jotka käynnistyvät toistuvasti ja joiden toiminnossa esiintyy PowerShell, pythonw.exe tai client.py.
• pythonw.exe, joka käynnistetään client.py-argumentilla, sekä lähtevä TLS- tai WebSocket-liikenne osoitteeseen gitnow[.]dev.
• Active Directory- ja verkkotiedustelu työasemalta, joka ei normaalisti tee tällaista kartoitusta. 1

Etsi gitnow[.]dev-osoitetta DNS-, välityspalvelin-, palomuuri-, EDR-, TLS/SNI- ja WebSocket-lokeista. Microsoftin alkuperäistä tiedotetta kannattaa käyttää täydellisten tiivisteiden, URL-osoitteiden, tiedostopolkujen, tehtävänimien ja tunnistusohjeiden lähteenä, sillä tiedostonimet ja infrastruktuuri voivat muuttua. 1

Toimi näin, jos komento on jo suoritettu

1. Eristä päätelaite. Irrota epäilty kone verkosta, mutta säilytä mahdollisuuksien mukaan muisti, prosessipuut, PowerShell-lokit, ajoitettujen tehtävien määritykset, pysyvyysavaimet, DNS- ja välityspalvelintiedot sekä EDR-telemetria.
2. Estä ja rajaa tartunta. Estä tunnistetut verkkotunnukset ja jakeluinfrastruktuuri DNS:ssä, suojatuissa verkkoyhdyskäytävissä, välityspalvelimissa, palomuureissa ja päätelaitesuojauksessa. Etsi muista ympäristön koneista sama suoritusketju ennen niiden palauttamista verkkoon.
3. Suojaa käyttäjätilit. Oleta, että koneella käytetyt tai tallennetut tunnistetiedot ovat voineet paljastua. Kun tartunta on rajattu ja alustavasti tutkittu, vaihda asiaankuuluvat salasanat ja mitätöi aktiiviset istunnot ja tunnisteet. Aseta etusijalle ylläpito-, toimialue-, pilvi-, VPN-, selain-, palvelu- ja API-tunnukset, joita koneelta on voitu käyttää.
4. Tutki sisäverkon toiminta. Tarkista päätelaitteeseen ja sen käyttäjään liittyvät Active Directory -kirjautumiset, etäkäyttö, tiedostopalvelimet, VPN-yhteydet ja hallintatyökalujen käyttö.
5. Asenna kone tarvittaessa uudelleen. Varmistetusti saastunut järjestelmä kannattaa mahdollisuuksien mukaan uudelleenasentaa. Yhden DLL:n, ajoitetun tehtävän tai Run-merkinnän poistaminen ei välttämättä poista muuta pysyvyyttä tai tunnelin kautta hankittua pääsyä.

Suojausta parantavat kontrollit

Organisaatioiden kannattaa rajoittaa PowerShellin ja Windows Terminalin käyttöä roolien mukaan sekä hyödyntää sovellusten hallintaa, kuten WDAC:tä tai AppLockeria, siellä missä se on tarkoituksenmukaista. Pelkkään PowerShellin execution policy -asetukseen ei pidä luottaa, sillä se ei ole varsinainen tietoturvaraja. Vähimpien oikeuksien periaate ja tarpeettomien paikallisten ylläpitäjäoikeuksien poistaminen pienentävät onnistuneen huijauksen vaikutuksia.

PowerShellin keskitetty Script Block Logging, mukaan lukien tapahtumatunnus 4104, sekä moduulien lokitus, tarvittaessa transkriptio, AMSI, päätelaitetunnistus, suojausten peukaloinnin esto ja prosessien luonnin lokitus auttavat rakentamaan suoritusketjun jälkikäteen. Selain- ja verkkosuojauksissa kannattaa seurata myös murrettujen sivustojen uudelleenohjauksia, haitallista skriptien injektointia, epäilyttävää leikepöydän käsittelyä ja tunnettua komentopalvelininfrastruktuuria. 1

Käyttäjäkoulutuksessa kannattaa painottaa yhtä helposti muistettavaa sääntöä:

Älä koskaan liitä komentoa Suorita-ikkunaan, komentokehotteeseen, PowerShelliin tai Windows Terminaliin siksi, että verkkosivu, CAPTCHA, selainvirhe, mainos tai tukisivu käskee tekemään niin.

Sulje sivu ja ilmoita sen URL-osoite organisaation tietoturvatiimille.

TerminalFix osoittaa, kuinka luotetut komponentit voivat muodostaa haitallisen ketjun. Allekirjoitettu suoritettava tiedosto, Python, TLS, WebSocketit, kuvat ja aito verkkosivusto voivat näyttää erikseen harmittomilta. Tehokas puolustus perustuu siksi tapahtumien yhdistämiseen, nopeaan päätelaitteen eristämiseen ja käyttäjätilien suojaamiseen – ei vain yhden tiedostonimen tai allekirjoituksen estämiseen. 1