AnswersPublished11 sources
TerminalFix, come i falsi CAPTCHA aprono un tunnel verso le reti aziendali
Microsoft ha descritto il 28 agosto 2026 TerminalFix, una variante di ClickFix che usa falsi CAPTCHA Cloudflare per indurre gli utenti Windows a eseguire PowerShell. La catena combina un archivio ZIP nascosto, DLL sideloading tramite software Windows firmato, payload occultati in immagini PNG, persistenza nel Regist...
Pubblicato daModificato con GPT-5.6 LunaImmagini generate con GPT Image 1.5
Research answer
Key takeaways
- Microsoft ha descritto il 28 agosto 2026 TerminalFix, una variante di ClickFix che usa falsi CAPTCHA Cloudflare per indurre gli utenti Windows a eseguire PowerShell.
- La catena combina un archivio ZIP nascosto, DLL sideloading tramite software Windows firmato, payload occultati in immagini PNG, persistenza nel Registro e attività pianificate.
- La regola più importante per gli utenti è semplice: un CAPTCHA legittimo non chiede mai di aprire PowerShell o Windows Terminal e incollare un comando.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is Microsoft’s TerminalFix social-engineering campaign, how do attackers use compromised legitimate websites and fake Cloudflare Turnst. Article summary: TerminalFix is a ClickFix-style campaign in which attackers turn a user’s manual “verification” action into execution of a malicious PowerShell command. Its objective is not merely initial malware delivery: it establishe. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
TerminalFix è una campagna di ingegneria sociale analizzata da Microsoft il 28 agosto 2026. È una variante della tecnica ClickFix: invece di sfruttare una vulnerabilità del browser, convince direttamente la vittima a eseguire del codice. L'attacco può iniziare su un sito legittimo compromesso e concludersi con un reverse tunnel persistente, cioè un canale che permette all'aggressore di usare il PC infetto come punto di passaggio verso servizi interni raggiungibili dalla macchina. 1
Come funziona il falso CAPTCHA
La vittima visita un sito legittimo che è stato modificato dagli attaccanti. Sullo schermo compare quindi una schermata sovrapposta che imita Cloudflare Turnstile e mostra la familiare richiesta di verifica — «dimostra di essere umano».
Il passaggio decisivo arriva subito dopo: la pagina invita l'utente a copiare un contenuto e a incollarlo in Windows Terminal o PowerShell.
È questo il campanello d'allarme. I CAPTCHA e le verifiche Turnstile sono interazioni che avvengono nel browser: non richiedono di aprire una shell né di eseguire contenuti presenti negli appunti. TerminalFix sfrutta la fiducia dell'utente, spingendolo a considerare il comando parte della verifica invece di riconoscerlo come codice. 1
Il ricorso a Windows Terminal e PowerShell offre inoltre agli aggressori un modo per eseguire comandi più complessi e composti da più righe rispetto ai tradizionali inganni basati sulla finestra Esegui di Windows. 1
La catena di infezione a più livelli
Dopo l'esecuzione del comando, l'attacco procede attraverso diversi strati che cercano di confondere le attività dannose con strumenti affidabili e file apparentemente normali:
- Download dell'archivio: PowerShell scarica ed espande un archivio ZIP in una directory dall'aspetto nascosto sotto
C:\ProgramData. - DLL sideloading: l'archivio contiene il file eseguibile firmato da Microsoft
LockScreenContentServer.exeinsieme a filedui70.dllcontrollati dagli aggressori. Quando l'eseguibile cerca nella propria cartella una libreria necessaria, carica invece la DLL malevola. La firma dell'eseguibile è autentica, ma non rende legittima la DLL caricata al suo fianco. - Payload nascosti nelle immagini: componenti successivi vengono inseriti nei dati di immagini PNG tramite steganografia, risultando meno evidenti durante i controlli di base su file e download.
- Persistenza: voci Run del Registro di sistema e attività pianificate permettono ai componenti di riavviarsi dopo l'accesso dell'utente o a intervalli prestabiliti.
1
Per i difensori, la conseguenza è chiara: bloccare un solo nome di file difficilmente basta. La campagna combina esecuzione di PowerShell, estrazione di archivi, scrittura in percorsi insoliti, caricamento di DLL, accesso a immagini e meccanismi di persistenza. Questi segnali vanno correlati nei dati di telemetria degli endpoint.
Cosa cerca il malware
L'analisi di Microsoft descrive attività di ricognizione del sistema e della rete, comprese informazioni su sistema operativo, utenti, processi, servizi, configurazione di rete e contesto di sicurezza. Il malware svolge anche attività di ricognizione in Active Directory, per identificare il dominio e i sistemi o gli account che potrebbero essere utili per successive fasi di accesso. 1
Per i team di sicurezza, query sospette ai servizi di directory provenienti da una normale workstation meritano particolare attenzione quando compaiono insieme alla catena di esecuzione di TerminalFix. Tra i comportamenti da verificare rientrano l'enumerazione di controller di dominio, utenti, gruppi, trust, condivisioni, sistemi remoti e account privilegiati.
Perché il reverse tunnel aumenta il rischio
Il componente più rilevante della campagna è un impianto Python, client.py, avviato tramite pythonw.exe. Poiché pythonw.exe normalmente non mostra una finestra della console, il processo può risultare meno visibile all'utente rispetto a un programma tradizionale a riga di comando. 1
Il client comunica verso l'esterno tramite TLS e WebSocket con gitnow[.]dev. Può ricevere istruzioni per collegarsi, dal computer della vittima, a un indirizzo e a una porta interni e inoltrare il traffico TCP attraverso la connessione WebSocket cifrata, secondo un modello simile a SOCKS5. 1
In pratica, il PC infetto può diventare un proxy di rete controllato dall'esterno. Il tunnel non garantisce automaticamente l'accesso a ogni sistema interno: contano la raggiungibilità dalla macchina compromessa e i relativi permessi. Può però esporre servizi non raggiungibili direttamente da Internet, trasformando l'infezione da problema limitato a un singolo PC in un possibile punto d'accesso alla rete interna.
Indicatori e priorità per il rilevamento
È preferibile cercare combinazioni di segnali, invece di considerare decisivo un singolo artefatto:
- Una sessione del browser seguita immediatamente dall'apertura di Windows Terminal o PowerShell, soprattutto dopo una richiesta CAPTCHA o una schermata di verifica.
- PowerShell che scarica, decodifica, estrae o esegue contenuti provenienti dagli appunti.
- PowerShell avviato con una finestra nascosta o scrittura di archivi ed eseguibili in percorsi insoliti sotto
ProgramData. LockScreenContentServer.exeeseguito al di fuori della directory Windows prevista, in particolare accanto adui70.dllin una posizione insolita o scrivibile dall'utente.- File PNG aperti poco prima della comparsa di nuove DLL, file Python, attività pianificate o voci Run.
- Valori nuovi o modificati nelle chiavi
HKCUoHKLM...\CurrentVersion\Run. - Attività pianificate con nomi insoliti, esecuzione ricorrente, percorsi sospetti, PowerShell,
pythonw.exeoclient.pytra le azioni. pythonw.exeavviato con un argomentoclient.pye traffico TLS o WebSocket versogitnow[.]dev.- Ricognizione di Active Directory e della rete da una workstation che normalmente non svolge questo tipo di enumerazione.
È opportuno cercare gitnow[.]dev nei log DNS, proxy, firewall, EDR, TLS/SNI e WebSocket. Per l'elenco completo di hash, URL, percorsi, nomi delle attività e indicazioni di rilevamento va consultato l'avviso Microsoft sulla campagna, perché nomi dei file e infrastruttura possono cambiare. 1
Cosa fare se si sospetta l'esecuzione
- Isolare l'endpoint. Disconnettere dalla rete il dispositivo sospetto, preservando memoria, alberi dei processi, log di PowerShell, definizioni delle attività pianificate, chiavi di persistenza, dati DNS e proxy e telemetria EDR.
- Bloccare e verificare l'estensione dell'incidente. Bloccare i domini e l'infrastruttura di distribuzione identificati a livello DNS, gateway web sicuro, proxy, firewall e strumenti endpoint. Prima di ricollegare i sistemi, cercare nella rete la stessa sequenza di esecuzione.
- Proteggere le identità. Considerare potenzialmente esposte le credenziali usate o memorizzate sul computer. Dopo il contenimento e una prima valutazione, reimpostare le password e revocare sessioni e token attivi, dando priorità ad account privilegiati, di dominio, cloud, VPN, browser, servizio e API accessibili dal dispositivo.
- Analizzare le attività interne. Esaminare autenticazioni Active Directory, accessi remoti, file server, VPN e strumenti amministrativi associati all'endpoint e al suo utente.
- Ricostruire il sistema quando necessario. Per i dispositivi compromessi, il reimaging è spesso preferibile. Rimuovere una sola DLL, un'attività pianificata o una voce Run potrebbe non eliminare altri meccanismi di persistenza né l'accesso ottenuto attraverso il tunnel.
Controlli per ridurre il rischio
Le organizzazioni dovrebbero limitare PowerShell e Windows Terminal in base ai ruoli, ricorrere quando appropriato a controlli applicativi come WDAC o AppLocker e non considerare la sola execution policy una barriera di sicurezza. Il principio del privilegio minimo e la rimozione dei diritti di amministratore locale non necessari riducono l'impatto di un'esecuzione riuscita.
La raccolta centralizzata dei log di PowerShell, incluso lo Script Block Logging con l'evento 4104, insieme a module logging, trascrizioni quando appropriate, AMSI, protezione antimanomissione, rilevamento sugli endpoint e registrazione della creazione dei processi può aiutare a ricostruire la catena di esecuzione. Anche i controlli web e del browser dovrebbero monitorare reindirizzamenti da siti compromessi, iniezioni di script dannosi, manipolazioni sospette degli appunti e infrastrutture di comando e controllo note. 1
La formazione degli utenti dovrebbe concentrarsi su una regola semplice e facile da ricordare:
Non incollare mai comandi in Esegui, Prompt dei comandi, PowerShell o Windows Terminal perché lo chiedono un sito web, un CAPTCHA, un errore del browser, una pubblicità o una pagina di supporto.
Se una pagina chiede di eseguire un comando nel terminale, va chiusa e segnalata, possibilmente comunicando anche l'URL al reparto IT o sicurezza.
TerminalFix mostra come componenti affidabili possano comunque entrare in una catena dannosa. Un eseguibile firmato, Python, TLS, WebSocket, file immagine e un sito legittimo possono sembrare normali se osservati separatamente. Una difesa efficace richiede quindi correlazione dei comportamenti, isolamento rapido degli endpoint e protezione delle identità, non soltanto il blocco di un singolo nome file o di una firma. 1
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "TerminalFix, come i falsi CAPTCHA aprono un tunnel verso le reti aziendali"?
Microsoft ha descritto il 28 agosto 2026 TerminalFix, una variante di ClickFix che usa falsi CAPTCHA Cloudflare per indurre gli utenti Windows a eseguire PowerShell.
What are the key points to validate first?
Microsoft ha descritto il 28 agosto 2026 TerminalFix, una variante di ClickFix che usa falsi CAPTCHA Cloudflare per indurre gli utenti Windows a eseguire PowerShell. La catena combina un archivio ZIP nascosto, DLL sideloading tramite software Windows firmato, payload occultati in immagini PNG, persistenza nel Registro e attività pianificate.
What should I do next in practice?
La regola più importante per gli utenti è semplice: un CAPTCHA legittimo non chiede mai di aprire PowerShell o Windows Terminal e incollare un comando.