TerminalFix Menipu Pengguna Windows dengan CAPTCHA Palsu untuk Membuka Reverse Tunnel

TerminalFix adalah kampanye ClickFix yang dilacak Microsoft. Alih-alih menampilkan pemeriksaan keamanan biasa, serangan ini meminta pengguna membuka Windows Terminal atau PowerShell, menempelkan sebuah perintah, lalu menjalankannya. Microsoft menjelaskan aktivitas tersebut pada 28 Agustus 2026 sebagai varian yang memanfaatkan situs web yang telah disusupi dan CAPTCHA Cloudflare palsu untuk menjalankan intrusi bertahap. 3

Dampaknya bukan sekadar unduhan malware satu kali. Tahap akhir yang dilaporkan adalah implant reverse tunnel yang mampu menyediakan akses proksi tingkat jaringan melalui komputer Windows yang telah terinfeksi. Dengan begitu, operator berpotensi memperoleh jalur menuju sistem dan layanan internal yang dapat dijangkau dari komputer korban. 3 15

Bagaimana serangan TerminalFix bekerja

1. Situs web resmi dijadikan titik penyebaran

Penyerang menyusupi situs web yang sebenarnya sah, kemudian menambahkan lapisan CAPTCHA palsu bergaya Cloudflare Turnstile di atas halaman tersebut. Tampilannya dibuat menyerupai pemeriksaan rutin “verifikasi bahwa Anda manusia”, tetapi instruksinya meminta pengunjung menyalin dan menempelkan perintah ke Windows Terminal atau PowerShell. 3 29

Perubahan metode ini menjadi ciri penting TerminalFix. Kampanye ClickFix sebelumnya umumnya mengarahkan korban ke kotak dialog Windows Run. TerminalFix justru menggunakan Windows Terminal atau PowerShell sehingga skrip yang lebih kompleks dan terdiri dari beberapa baris dapat dijalankan dengan lebih mudah. 1 3

2. PowerShell mengunduh komponen untuk DLL sideloading

Rangkaian PowerShell yang ditempel korban mengunduh arsip ZIP berisi dua file penting:

• LockScreenContentServer.exe yang memiliki tanda tangan digital sah
• dui70.dll yang berbahaya

Ketika executable bertanda tangan tersebut dijalankan, ia memuat DLL yang dikendalikan penyerang melalui teknik DLL sideloading. Penggunaan executable bertanda tangan dapat membuat rangkaian ini tampak tidak terlalu mencurigakan dibandingkan menjalankan binary asing secara langsung. Laporan yang tersedia menyebutkan nama file tersebut, tetapi belum menetapkan hash yang tepat atau memastikan bahwa executable sah itu telah dimodifikasi. 29

3. Payload lanjutan disembunyikan dalam file PNG

Kampanye ini menyembunyikan komponen tahap berikutnya di dalam file PNG menggunakan steganografi. File tersebut kemudian dibaca dan diuraikan secara lokal, sehingga penyerang dapat mengambil kode tambahan tanpa menampilkan setiap tahap sebagai unduhan executable yang jelas. 10 29

4. Persistence dan pengintaian dilakukan

Aktivitas yang dilaporkan membuat persistence melalui entri Registry Run dan scheduled task. Serangan ini juga melakukan pengintaian terhadap host dan Active Directory sebelum memasang tunnel, sehingga risikonya melampaui komputer yang pertama kali terinfeksi. 4 29

Bagi tim pertahanan, kombinasi ini penting. Pengguna yang menjalankan perintah dari CAPTCHA palsu mungkin tidak hanya menghadapi infeksi pada satu workstation. Komputer tersebut dapat berubah menjadi titik persiapan untuk mengumpulkan informasi dan mengakses jaringan.

5. Implant Python membuat reverse tunnel

Kampanye ini memasang komponen reverse tunnel berbasis Python melalui pythonw.exe. Komponen tersebut berkomunikasi dengan gitnow[.]dev menggunakan TLS dan WebSockets pada TCP port 443, lalu meneruskan lalu lintas TCP bergaya SOCKS5. Secara praktis, komputer yang terinfeksi dapat berfungsi sebagai proksi antara operator dan sumber daya yang bisa dijangkau dari jaringan korban. 3 10

Inilah alasan deskripsi Microsoft tentang akses proksi tingkat jaringan lebih serius daripada peringatan infostealer biasa. Tujuan penyerang dapat mencakup kemampuan menjangkau jaringan internal, bukan hanya mengumpulkan data dari komputer yang pertama kali terkena dampak. 3 15

Indikator yang perlu diselidiki

Sumber yang tersedia tidak memuat tabel IOC Microsoft secara lengkap, hash, maupun seluruh nama perintah dan persistence. Karena itu, indikator berikut sebaiknya diperlakukan sebagai petunjuk perburuan (hunting leads), bukan pengganti deteksi resmi Microsoft.

Aktivitas jaringan

• Koneksi DNS, proksi, firewall, TLS, atau WebSocket menuju gitnow[.]dev
• Aktivitas keluar TCP/443 yang tidak biasa dari workstation pengguna
• Koneksi yang dimulai tidak lama setelah sesi browser mencurigakan atau eksekusi PowerShell

Proses dan file

• pythonw.exe berjalan dari direktori yang tidak semestinya
• pythonw.exe dibuat oleh PowerShell, Windows Terminal, atau LockScreenContentServer.exe
• LockScreenContentServer.exe berada di direktori yang sama dengan dui70.dll
• Arsip ZIP yang diunduh ke folder profil pengguna atau direktori sementara
• File PNG yang dibaca atau diuraikan oleh PowerShell maupun Python
• Skrip Python, interpreter, atau runtime yang disematkan dan dijalankan dari lokasi yang dapat ditulisi pengguna

Persistence

• Entri Registry Run baru atau yang tidak dikenal
• Scheduled task yang menjalankan PowerShell, Python, pythonw.exe, atau file dari %AppData%, %LocalAppData%, %Temp%, folder Downloads, atau lokasi serupa

Perilaku command line

• Aktivitas interaktif PowerShell atau Windows Terminal segera setelah kunjungan ke sebuah situs
• Rangkaian perintah unduh, uraikan, lalu jalankan
• PowerShell yang di-encode atau sangat diobfusikasi
• Perintah yang ditempel ke terminal saat pengguna seolah-olah sedang menyelesaikan CAPTCHA atau proses verifikasi

Langkah yang perlu dilakukan setelah dugaan paparan

Isolasi perangkat, lalu amankan bukti

Putuskan koneksi host yang dicurigai dari jaringan mengikuti prosedur respons insiden organisasi, sambil mempertahankan bukti endpoint, browser, proses, dan jaringan yang relevan. Periksa host, akun penggunanya, serta koneksi keluar yang dibuatnya. Jangan perlakukan kejadian ini sebagai unduhan mencurigakan biasa.

Periksa kemungkinan akses ke jaringan internal

Cari indikator di atas pada endpoint, log DNS, proksi, firewall, identitas, dan akses jarak jauh. Tinjau telemetri Active Directory dan domain controller untuk aktivitas pengintaian, kueri mencurigakan terhadap akun atau grup, serta tanda-tanda pergerakan lateral. Kemampuan reverse tunnel membuat pemeriksaan jangkauan ke jaringan internal menjadi sangat penting. 4 29

Ganti kredensial yang mungkin terekspos

Reset kredensial dan cabut sesi atau token aktif milik pengguna yang terdampak. Prioritaskan akun dengan hak istimewa, akun layanan, dan akun administrator yang digunakan pada host terinfeksi—terutama bila host tersebut dapat mengakses sistem sensitif.

Batasi jalur eksekusi berisiko tinggi

Jika memungkinkan, batasi akses PowerShell dan Windows Terminal pada kelompok administrator atau pengembang yang telah disetujui. Terapkan prinsip hak akses minimum dan application control, serta buat peringatan untuk interpreter Python yang tidak disetujui atau eksekusi dari direktori yang dapat ditulisi pengguna.

Perkuat telemetri

Aktifkan PowerShell Script Block Logging, module logging, dan transcription sesuai kebutuhan. Pastikan visibilitas endpoint mencakup pembuatan proses, perubahan scheduled task, persistence Registry, pencarian DNS, serta koneksi TLS keluar. Sinyal-sinyal ini dapat membantu menghubungkan umpan awal di browser dengan eksekusi dan aktivitas jaringan pada tahap berikutnya.

Blokir dan pantau infrastruktur yang dilaporkan

Blokir gitnow[.]dev dan periksa koneksi historis ke domain tersebut. Pemblokiran domain perlu disertai pemantauan perilaku, bukan dijadikan satu-satunya pertahanan, karena infrastruktur yang dikendalikan penyerang dapat berubah.

Peringatan untuk pengguna sangat sederhana

CAPTCHA yang sah mungkin meminta pengguna mengeklik kotak atau menyelesaikan interaksi di dalam browser. CAPTCHA tidak seharusnya meminta pengguna membuka terminal, menempelkan perintah yang tidak dikenal, atau menjalankan PowerShell. Instruksi semacam itu adalah tanda bahaya rekayasa sosial yang paling jelas dalam TerminalFix. 1 3

Untuk organisasi, edukasi pengguna akan lebih efektif jika menyebut perilaku yang harus dihindari secara spesifik: jangan pernah menyalin dan menjalankan perintah yang diberikan halaman web hanya untuk melewati CAPTCHA atau “memperbaiki” masalah browser. Jika instruksi tersebut sudah diikuti, segera laporkan insiden dan hentikan penggunaan perangkat sampai perangkat diperiksa.