TerminalFix समझें: नकली CAPTCHA कैसे Windows PC को रिवर्स-टनल प्रॉक्सी बना देता है

TerminalFix Microsoft द्वारा 28 अगस्त 2026 को दस्तावेजीकृत किया गया एक social-engineering अभियान है। यह ClickFix तकनीक का नया रूप है, जिसमें ब्राउज़र की किसी vulnerability का फायदा उठाने के बजाय हमलावर यूज़र को खुद code चलाने के लिए राजी करते हैं। हमला किसी वास्तविक लेकिन compromised वेबसाइट से शुरू हो सकता है, पर इसका परिणाम संक्रमित Windows कंप्यूटर के जरिए आंतरिक सेवाओं तक पहुंच बनाने वाला persistent reverse tunnel हो सकता है। 1

नकली CAPTCHA वाला हमला कैसे काम करता है

पीड़ित किसी ऐसी legitimate वेबसाइट पर जाता है जिसमें हमलावरों ने बदलाव किया होता है। इसके बाद Cloudflare Turnstile जैसा दिखने वाला नकली overlay सामने आता है और यूज़र से “Verify you are human” जैसी प्रक्रिया पूरी करने को कहा जाता है। असली खतरा अगले निर्देश में छिपा होता है: पेज यूज़र से content copy करके Windows Terminal या PowerShell में paste करने को कहता है।

यह साफ warning sign है। CAPTCHA या Turnstile चुनौती ब्राउज़र के भीतर पूरी होती है; इसके लिए command shell खोलने या clipboard से कोई command चलाने की जरूरत नहीं होती। TerminalFix यूज़र को यह मानने पर मजबूर करता है कि command verification प्रक्रिया का हिस्सा है, जबकि वह वास्तव में code होता है। 1

Windows Terminal या PowerShell का इस्तेमाल हमलावरों को Run dialog वाले सामान्य lure की तुलना में अधिक जटिल और multi-line commands चलाने की सुविधा देता है। 1

कई चरणों में payload की तैनाती

Command चलने के बाद हमला trusted tools और सामान्य दिखने वाली files का इस्तेमाल करते हुए कई परतों में आगे बढ़ता है:

1. Archive download: PowerShell एक ZIP archive डाउनलोड करके उसे C:\ProgramData के नीचे छिपे हुए से लगने वाले directory में extract करता है।
2. DLL sideloading: Archive में Microsoft-signed LockScreenContentServer.exe के साथ हमलावरों की बनाई हुई dui70.dll files रखी जाती हैं। Executable जब अपनी local directory में जरूरी library खोजता है, तो malicious DLL लोड हो जाती है। इससे signed executable पर मौजूद भरोसे का दुरुपयोग होता है; DLL स्वयं legitimate नहीं होती।
3. PNG में छिपा payload: बाद के components PNG image data के भीतर छिपाए जाते हैं। इस technique को steganography कहा जाता है और इससे सामान्य file या download inspection में payload कम स्पष्ट दिख सकता है।
4. Persistence: Registry Run entries और scheduled tasks malware components को login के बाद या तय समय पर दोबारा शुरू कर सकते हैं। 1

Defenders के लिए इसका अर्थ है कि केवल किसी एक filename को block करना पर्याप्त नहीं होगा। PowerShell execution, archive extraction, असामान्य file placement, DLL loading, image access और persistence जैसे व्यवहारों को endpoint telemetry में एक साथ देखना जरूरी है।

Malware कंप्यूटर में क्या तलाशता है

Microsoft के विश्लेषण के अनुसार, malware system, user, process, service, network और security context से जुड़ी जानकारी जुटाता है। यह Active Directory reconnaissance भी करता है, जिससे domain environment और आगे के access के लिए उपयोगी systems या accounts की पहचान की जा सकती है। 1

यदि कोई सामान्य workstation TerminalFix जैसी execution chain के साथ संदिग्ध directory-service queries कर रहा हो, तो security teams को उस activity पर विशेष ध्यान देना चाहिए। इसमें domain controllers, users, groups, trusts, shares, remote systems या privileged accounts की enumeration शामिल हो सकती है।

Reverse tunnel से खतरा क्यों बढ़ जाता है

इस अभियान का सबसे गंभीर component Python का client.py implant है, जिसे pythonw.exe के जरिए चलाया जाता है। pythonw.exe सामान्य console window नहीं दिखाता, इसलिए यह किसी user को conventional command-line program की तुलना में कम दिखाई दे सकता है। 1

Client TLS और WebSockets के जरिए gitnow[.]dev से outbound communication करता है। यह victim machine से किसी internal address और port पर connection बनाने का निर्देश ले सकता है और फिर उस TCP traffic को encrypted WebSocket connection के जरिए SOCKS5-जैसे model में relay कर सकता है। 1

व्यावहारिक रूप से संक्रमित कंप्यूटर हमलावरों के नियंत्रण वाला network proxy बन सकता है। इसका यह मतलब नहीं कि हमलावर हर internal system तक अपने-आप पहुंच जाएंगे—network reachability और permissions अब भी जरूरी हैं। फिर भी, ऐसा tunnel उन services को expose कर सकता है जो public internet से सीधे उपलब्ध नहीं हैं। इसलिए मामला केवल एक संक्रमित PC का नहीं, बल्कि internal-network access का भी बन जाता है।

Detection और threat hunting में किन संकेतों को देखें

किसी एक artifact को निर्णायक मानने के बजाय इन संकेतों के मेल पर ध्यान दें:

• CAPTCHA या “verification” prompt देखने के तुरंत बाद browser session से Windows Terminal या PowerShell का शुरू होना।
• ऐसा PowerShell जो clipboard से मिले content को download, decode, extract या execute करे।
• Hidden-window PowerShell या असामान्य ProgramData locations में archives और executables का लिखा जाना।
• LockScreenContentServer.exe का अपनी expected Windows directory के बाहर चलना, खासकर किसी असामान्य या user-writable location में dui70.dll के साथ मौजूद होना।
• PNG files का access होने के कुछ समय बाद नई DLLs, Python files, scheduled tasks या Run-key entries का दिखाई देना।
• HKCU या HKLM में ...\CurrentVersion\Run values का बनना या बदलना।
• ऐसे scheduled tasks जिनके नाम असामान्य हों या जिनकी actions में संदिग्ध path, PowerShell, pythonw.exe या client.py हो।
• pythonw.exe का client.py argument के साथ चलना और gitnow[.]dev की ओर outbound TLS या WebSocket traffic।
• ऐसे workstation से Active Directory और network discovery होना जो सामान्यतः इस तरह की enumeration नहीं करता। 1

DNS, proxy, firewall, EDR, TLS/SNI और WebSocket telemetry में gitnow[.]dev के लिए search करें। Campaign के पूरे hashes, URLs, file paths, task names और detection guidance के लिए Microsoft की advisory देखें, क्योंकि filenames और infrastructure बदल सकते हैं। 1

संदिग्ध execution के बाद क्या करें

1. Endpoint को isolate करें: संदिग्ध device को network से disconnect करें। साथ ही memory, process trees, PowerShell logs, scheduled-task definitions, persistence keys, DNS और proxy records तथा EDR telemetry सुरक्षित रखें।
2. Block और scope करें: पहचाने गए domains और delivery infrastructure को DNS, secure web gateways, proxies, firewalls और endpoint controls पर block करें। Device को दोबारा connect करने से पहले पूरे environment में इसी execution sequence की तलाश करें।
3. Identities की सुरक्षा करें: उस host पर इस्तेमाल या stored credentials को संभावित रूप से exposed मानें। Containment और initial scoping के बाद संबंधित passwords reset करें और active sessions तथा tokens revoke करें। इसमें privileged, domain, cloud, VPN, browser, service और API credentials को प्राथमिकता दें।
4. Internal activity की जांच करें: प्रभावित endpoint और उसके user से जुड़ी Active Directory authentication, remote access, file-server, VPN और administrative-tool activity की समीक्षा करें।
5. जरूरत पड़ने पर rebuild करें: Confirmed-compromised systems को जहां संभव हो reimage करें। केवल एक DLL, scheduled task या Run key हटाने से संक्रमण पूरी तरह समाप्त हो गया हो, यह मानना सुरक्षित नहीं है। Tunnel के जरिए अतिरिक्त persistence या access बनाया जा सकता है।

संक्रमण का जोखिम घटाने वाले controls

Organizations को role के अनुसार PowerShell और Windows Terminal को restrict करना चाहिए। जहां उपयुक्त हो, WDAC या AppLocker जैसे application-control tools का इस्तेमाल करें। केवल execution policy पर निर्भर न रहें, क्योंकि वह अपने-आप में security boundary नहीं है। Least privilege अपनाने और अनावश्यक local administrator rights हटाने से सफल lure का प्रभाव कम हो सकता है।

PowerShell Script Block Logging को centrally collect करें, जिसमें Event ID 4104 भी शामिल है। जरूरत के अनुसार module logging और transcription के साथ AMSI, endpoint detection, tamper protection और process-creation logging का उपयोग करें। Browser और web controls को compromised-site redirects, malicious script injection, संदिग्ध clipboard manipulation और ज्ञात command-and-control infrastructure पर भी निगरानी रखनी चाहिए। 1

User training के लिए एक आसान नियम याद रखें: किसी वेबसाइट, CAPTCHA, browser error, advertisement या support page के कहने पर Run, Command Prompt, PowerShell या Windows Terminal में कभी command paste न करें। ऐसा पेज दिखे तो उसे बंद करें और URL report करें।

TerminalFix दिखाता है कि trusted components भी एक malicious chain का हिस्सा बन सकते हैं। Signed executable, Python, TLS, WebSockets, image files और legitimate website अलग-अलग देखने पर सामान्य लग सकते हैं। इसलिए प्रभावी सुरक्षा केवल किसी एक filename या signature को block करने से नहीं, बल्कि behavior correlation, तेज endpoint isolation और identity protection से हासिल होती है। 1