TerminalFix: מתקפת CAPTCHA מזויף שמקימה מנהרת גישה סמויה

הסכנה מתחילה בפעולת “אימות” שנראית תמימה

TerminalFix הוא קמפיין הנדסה חברתית שתועד על ידי מיקרוסופט ב-28 באוגוסט 2026. מדובר בווריאציה של שיטת ClickFix: במקום לנצל חולשה בדפדפן, התוקפים משכנעים את המשתמש עצמו להפעיל קוד. הקמפיין מתחיל באתר לגיטימי שנפרץ, אך עלול להסתיים במנהרה הפוכה (reverse tunnel) שמספקת לתוקף נתיב דרך מחשב Windows שנפגע אל שירותים פנימיים הנגישים ממנו. 1

המשמעות היא שלא מדובר רק בהדבקת מחשב יחיד. לאחר ההדבקה, התחנה עלולה להפוך לנקודת גישה לרשת הארגונית.

איך פועל ה-CAPTCHA המזויף?

הקורבן נכנס לאתר לגיטימי ששונה על ידי התוקפים. מעל תוכן האתר מופיעה שכבת אימות שנראית כמו Cloudflare Turnstile, עם בקשה מוכרת בסגנון “אמתו שאתם בני אדם”.

אלא שהשלב הבא חושף את ההונאה: הדף מורה למשתמש להעתיק תוכן ולהדביק אותו ב-Windows Terminal או ב-PowerShell.

זו נורת אזהרה ברורה. CAPTCHA ו-Turnstile הם מנגנוני אינטראקציה בדפדפן — הם אינם דורשים פתיחת חלון פקודות או הרצת תוכן שהועתק ללוח. TerminalFix מנצל את הנטייה של המשתמש לחשוב שהפקודה היא חלק מתהליך האימות, במקום לזהות שמדובר בקוד. 1

ההפניה ל-Windows Terminal או ל-PowerShell מאפשרת לתוקפים גם להעביר פקודות מורכבות ורב-שורתיות, שקל יותר להריץ כך מאשר באמצעות פיתוי מסורתי של חלון Run. 1

שרשרת ההדבקה: מארכיון מוסתר ועד התמדה

לאחר שהפקודה מופעלת, הקמפיין מתקדם בכמה שכבות שמנסות להיטמע בתוך כלים לגיטימיים וקבצים שנראים שגרתיים:

1. הורדת ארכיון: PowerShell מוריד ארכיון ZIP ומחלץ אותו לתיקייה בעלת מראה מוסתר תחת C:\ProgramData.
2. טעינת DLL צדדית: הארכיון מציב את הקובץ החתום של מיקרוסופט LockScreenContentServer.exe לצד קובצי dui70.dll שבשליטת התוקפים. כאשר קובץ ההפעלה מחפש בספרייה המקומית ספריית DLL נדרשת, הוא טוען את הספרייה הזדונית. כך מנוצל האמון בקובץ ההפעלה החתום — אך הדבר אינו הופך את ה-DLL ללגיטימי.
3. הסתרה בתוך תמונות: רכיבים מאוחרים יותר מוסתרים בתוך נתוני תמונות PNG באמצעות סטגנוגרפיה, כך שקשה יותר לזהות אותם בבדיקות בסיסיות של קבצים והורדות.
4. יצירת התמדה: ערכי Run ברישום ומשימות מתוזמנות מאפשרים לרכיבים להיטען מחדש לאחר כניסה למערכת או במרווחים מתוזמנים. 1

מבחינת צוותי הגנה, המבנה הזה חשוב במיוחד: חסימת שם קובץ יחיד כנראה לא תספיק. יש לבחון את רצף ההתנהגויות — הפעלת PowerShell, חילוץ ארכיון, כתיבה למיקום חריג, טעינת DLL, גישה לתמונות ויצירת מנגנוני התמדה — ולחבר ביניהן בנתוני התחנות.

איזה מידע אוספת הנוזקה?

לפי ניתוח מיקרוסופט, הנוזקה מבצעת איסוף מידע על המערכת ועל הרשת: פרטי מערכת, משתמשים, תהליכים, שירותים, חיבורי רשת והקשר אבטחה. היא גם מבצעת סריקה של Active Directory כדי לזהות את סביבת הדומיין ומערכות או חשבונות שעשויים להיות שימושיים להמשך החדירה. 1

לכן, שאילתות חריגות לשירותי ספרייה מתחנת עבודה רגילה ראויות לבדיקה, במיוחד אם הן מופיעות לצד שרשרת ההרצה של TerminalFix. בין הפעולות החשודות: איתור בקרי דומיין, משתמשים, קבוצות, קשרי אמון, שיתופים, מערכות מרוחקות או חשבונות בעלי הרשאות גבוהות.

המנהרה ההפוכה: המחשב הופך לפרוקסי של התוקף

הרכיב המשמעותי ביותר בקמפיין הוא שתל Python בשם client.py, המופעל באמצעות pythonw.exe. מאחר ש-pythonw.exe אינו מציג בדרך כלל חלון קונסול, הפעילות עלולה להיות פחות גלויה למשתמש מתוכנית שורת פקודה רגילה. 1

הלקוח מתקשר החוצה באמצעות TLS ו-WebSockets עם gitnow[.]dev. הוא יכול לקבל הוראות להתחבר מהמחשב שנפגע לכתובת ולפורט פנימיים, ואז להעביר את תעבורת ה-TCP דרך חיבור ה-WebSocket המוצפן, במודל דמוי SOCKS5. 1

בפועל, המחשב הנגוע עלול להפוך לפרוקסי רשת הנשלט מרחוק. המנהרה אינה מעניקה אוטומטית גישה לכל מערכת פנימית — עדיין נדרשים נגישות רשת והרשאות מתאימות — אך היא עלולה לחשוף שירותים שאינם זמינים ישירות מהאינטרנט. לכן מדובר בבעיה של גישה לרשת הפנימית, ולא רק באירוע של נוזקה על מחשב יחיד.

מה כדאי לחפש במערכות הארגון?

אין להתייחס לסימן יחיד כהוכחה מכרעת. חפשו צירופים של כמה מהאינדיקטורים הבאים:

• הפעלת Windows Terminal או PowerShell מיד לאחר גלישה באתר או הופעת חלון CAPTCHA.
• PowerShell שמוריד, מפענח, מחלץ או מריץ תוכן שהגיע מלוח ההעתקה.
• PowerShell בחלון מוסתר, או כתיבה של ארכיונים וקובצי הפעלה למיקומים חריגים תחת ProgramData.
• הרצת LockScreenContentServer.exe מחוץ לתיקיית Windows הצפויה, במיוחד כשהוא נמצא לצד dui70.dll במיקום חריג או כזה שניתן לכתיבה על ידי משתמש.
• גישה לקובצי PNG זמן קצר לפני הופעת קובצי DLL או Python חדשים, משימות מתוזמנות או ערכי Run.
• ערכים חדשים או ששונו תחת HKCU או HKLM בנתיב ...\CurrentVersion\Run.
• משימות מתוזמנות בעלות שמות חריגים, הפעלה מחזורית, נתיבים חשודים, PowerShell, pythonw.exe או client.py בפעולת ההרצה שלהן.
• הפעלת pythonw.exe עם ארגומנט client.py, לצד תעבורת TLS או WebSocket יוצאת אל gitnow[.]dev.
• פעולות גילוי של Active Directory ושל הרשת מתחנת עבודה שאינה מבצעת בדרך כלל סריקות כאלה. 1

יש לחפש את gitnow[.]dev בנתוני DNS, פרוקסי, חומות אש, EDR, TLS/SNI ו-WebSockets. ההמלצה היא להיעזר גם בהתראה המלאה של מיקרוסופט, הכוללת גיבובים, כתובות URL, נתיבי קבצים, שמות משימות והנחיות זיהוי. שמות קבצים ותשתיות תקיפה עלולים להשתנות. 1

מה לעשות אם משתמש הפעיל את הפקודה?

1. בודדו את התחנה. נתקו את המחשב החשוד מהרשת, תוך שמירה על נתוני זיכרון, עצי תהליכים, יומני PowerShell, הגדרות משימות מתוזמנות, מפתחות התמדה, רשומות DNS ופרוקסי ונתוני EDR.
2. חסמו ובדקו את היקף האירוע. חסמו את הדומיינים ותשתיות ההפצה שזוהו ב-DNS, בשערי גלישה מאובטחים, בפרוקסים, בחומות אש ובכלי הקצה. לפני החזרת התחנה לרשת, חפשו את אותה שרשרת הרצה במחשבים נוספים.
3. הגנו על החשבונות. יש להתייחס לסיסמאות ולפרטי התחברות שהיו בשימוש או נשמרו במחשב כחשופים. לאחר הבידוד והבדיקה הראשונית, אפסו סיסמאות ובטלו הפעלות, אסימונים וחיבורים פעילים — בעדיפות לחשבונות מנהל, דומיין, ענן, VPN, דפדפן, שירות ו-API שהיו נגישים מהמחשב.
4. בדקו פעילות פנימית. עברו על אימותים ב-Active Directory, גישה מרחוק, שרתי קבצים, VPN וכלי ניהול הקשורים לתחנה ולמשתמש שלה.
5. שקלו התקנה מחדש. במערכות שנפגעו בוודאות, התקנה מחדש או יצירה מחדש של התחנה עדיפות כאשר הדבר אפשרי. מחיקה של DLL, משימה מתוזמנת או ערך Run יחיד אינה מבטיחה שהגישה או מנגנוני התמדה נוספים הוסרו.

הגנות שיכולות לצמצם את הסיכון

ארגונים צריכים להגביל את השימוש ב-PowerShell וב-Windows Terminal בהתאם לתפקיד, ולהשתמש בבקרת יישומים כגון WDAC או AppLocker היכן שמתאים. אין להסתמך על Execution Policy בלבד כגבול אבטחה. עקרון ההרשאה המינימלית והסרת הרשאות מנהל מקומיות שאינן נחוצות מצמצמים את הנזק האפשרי מפיתוי מוצלח.

רישום מרכזי של PowerShell Script Block Logging, ובכלל זה Event ID 4104, לצד Module Logging, תמלול במקרים מתאימים, AMSI, זיהוי בתחנות, הגנה מפני שינוי כלי האבטחה ורישום יצירת תהליכים — יכולים לסייע לשחזר את שרשרת ההרצה. גם בקרות דפדפן ורשת צריכות לזהות הפניות מאתרים שנפרצו, הזרקת סקריפטים זדונית, מניפולציה חשודה בלוח ההעתקה ותשתיות פיקוד ושליטה מוכרות. 1

ולמשתמשים כדאי להעביר כלל אחד שקל לזכור: לעולם אל תדביקו פקודות ב-Run, ב-Command Prompt, ב-PowerShell או ב-Windows Terminal משום שאתר, CAPTCHA, הודעת שגיאה בדפדפן, פרסומת או דף תמיכה ביקשו זאת. סגרו את הדף ודווחו על כתובת האתר.

TerminalFix ממחיש כיצד רכיבים אמינים לכאורה יכולים להשתלב בשרשרת זדונית. קובץ חתום, Python, TLS, WebSockets, תמונות ואתר לגיטימי עשויים להיראות רגילים כאשר בוחנים כל אחד מהם בנפרד. ההגנה היעילה דורשת אפוא חיבור בין התנהגויות, בידוד מהיר של תחנות והגנה מיידית על זהויות — ולא רק חסימה של שם קובץ או חתימה אחת. 1