TerminalFix Microsoft Guna CAPTCHA Palsu untuk Buka Terowong Balik ke Rangkaian

TerminalFix ialah kempen ClickFix yang dijejaki Microsoft. Ia menggantikan pemeriksaan keselamatan biasa dengan arahan berbahaya: buka Windows Terminal atau PowerShell, tampal satu arahan dan jalankannya. Microsoft menerangkan aktiviti ini pada 28 Ogos 2026 sebagai varian yang menggunakan laman web yang telah dikompromi serta pengesahan CAPTCHA Cloudflare palsu untuk melancarkan pencerobohan berbilang peringkat. 3

Kesannya bukan sekadar muat turun perisian hasad sekali lalu. Hasil akhir yang dilaporkan ialah implan terowong balik yang mampu menyediakan akses proksi pada peringkat rangkaian melalui komputer Windows yang terjejas. Ini berpotensi memberi penyerang laluan ke sistem dan perkhidmatan dalaman. 3 15

Bagaimana serangan TerminalFix berlaku

1. Laman web sah dijadikan titik penghantaran

Penyerang mengkompromi laman web yang pada asalnya sah, kemudian meletakkan tindanan CAPTCHA palsu ala Cloudflare Turnstile di atas halaman tersebut. Ia kelihatan seperti pemeriksaan rutin “sahkan bahawa anda manusia”, tetapi arahan pada paparan itu meminta pelawat menyalin dan menampal arahan ke dalam Windows Terminal atau PowerShell. 3 29

Perubahan kaedah penghantaran ini penting. Serangan ClickFix tradisional lazimnya mengarahkan mangsa ke kotak dialog Windows Run. TerminalFix pula menggunakan Windows Terminal atau PowerShell, yang memudahkan skrip berbilang baris dan lebih kompleks dilaksanakan dengan berjaya. 1 3

2. PowerShell memuat turun komponen untuk DLL sideloading

Rantaian PowerShell yang ditampal itu memuat turun arkib ZIP yang mengandungi dua fail penting:

• LockScreenContentServer.exe yang ditandatangani secara sah
• dui70.dll yang berniat jahat

Apabila fail boleh laku yang ditandatangani itu dijalankan, ia memuatkan DLL yang dikawal penyerang melalui teknik DLL sideloading. Penggunaan fail boleh laku bertandatangan sah boleh menjadikan rantaian ini kelihatan kurang mencurigakan berbanding pelancaran binari tidak dikenali secara terus. Laporan yang dibekalkan mengenal pasti nama fail tersebut, tetapi tidak mengesahkan hash khusus atau bahawa fail boleh laku sah itu telah diubah suai. 29

3. Fail PNG menyembunyikan muatan seterusnya

Kempen ini menyembunyikan komponen peringkat seterusnya di dalam fail PNG menggunakan steganografi. Fail tersebut kemudiannya dibaca dan dinyahkod secara setempat, membolehkan pencerobohan mendapatkan kod tambahan tanpa menjadikan setiap peringkat kelihatan seperti muat turun fail boleh laku yang jelas. 10 29

4. Kekal dalam sistem dan tinjauan rangkaian dilakukan

Aktiviti yang dilaporkan mewujudkan mekanisme kekal melalui entri Registry Run dan tugasan berjadual. Ia turut melakukan tinjauan terhadap hos serta Active Directory sebelum memasang terowong, sekali gus meningkatkan risiko melebihi komputer yang mula-mula dijangkiti. 4 29

Gabungan ini penting untuk pasukan pertahanan. Pengguna yang telah menjalankan arahan CAPTCHA palsu mungkin bukan berdepan jangkitan terpencil pada satu komputer sahaja. Hos tersebut boleh dijadikan titik persediaan untuk penemuan sistem dan akses ke rangkaian.

5. Implan Python membuka terowong balik

Kempen ini memasang komponen terowong balik berasaskan Python melalui pythonw.exe. Ia berkomunikasi dengan gitnow[.]dev menggunakan TLS dan WebSockets pada port TCP 443, sebelum menyampaikan trafik TCP ala SOCKS5. Dalam bahasa mudah, komputer yang dijangkiti boleh bertindak sebagai proksi antara penyerang dengan sumber yang boleh dicapai dari rangkaian mangsa. 3 10

Sebab itu penerangan Microsoft bahawa implan ini menyediakan akses proksi pada peringkat rangkaian jauh lebih serius berbanding amaran pencuri maklumat biasa. Matlamat penyerang mungkin merangkumi kebolehcapaian ke rangkaian dalaman, bukan sekadar mengumpul data daripada komputer pertama yang dijangkiti. 3 15

Petunjuk yang perlu disiasat

Sumber yang dibekalkan tidak mengandungi jadual IOC Microsoft yang lengkap, hash, atau semua nama arahan dan mekanisme kekal. Oleh itu, petunjuk berikut perlu dianggap sebagai panduan pemburuan, bukan pengganti kepada pengesanan asal Microsoft.

Aktiviti rangkaian

• Sambungan DNS, proksi, firewall, TLS atau WebSocket ke gitnow[.]dev
• Aktiviti keluar TCP/443 yang luar biasa daripada komputer pengguna
• Sambungan yang bermula tidak lama selepas sesi pelayar atau pelaksanaan PowerShell yang mencurigakan

Proses dan fail

• pythonw.exe yang berjalan dari direktori tidak dijangka
• pythonw.exe yang dilancarkan oleh PowerShell, Windows Terminal atau LockScreenContentServer.exe
• LockScreenContentServer.exe yang berada dalam direktori sama dengan dui70.dll
• Arkib ZIP yang dimuat turun ke folder profil pengguna atau direktori sementara
• Fail PNG yang dibaca atau dinyahkod oleh PowerShell atau Python
• Skrip Python, jurubahasa Python atau runtime terbenam yang dilancarkan dari lokasi yang boleh ditulis pengguna

Mekanisme kekal

• Entri Registry Run baharu atau tidak dikenali
• Tugasan berjadual yang melancarkan PowerShell, Python, pythonw.exe atau fail dari %AppData%, %LocalAppData%, %Temp%, Downloads atau lokasi yang serupa

Tingkah laku baris arahan

• Aktiviti interaktif PowerShell atau Windows Terminal sejurus selepas lawatan ke laman web
• Rantaian arahan yang memuat turun, menyahkod dan melaksanakan kandungan
• PowerShell yang dikodkan atau sangat dikelirukan
• Arahan yang ditampal ke terminal ketika pengguna kononnya sedang melengkapkan CAPTCHA atau proses pengesahan

Apa perlu dilakukan selepas pendedahan disyaki

Asingkan komputer, kemudian pelihara bukti

Putuskan sambungan komputer yang disyaki daripada rangkaian mengikut proses tindak balas insiden organisasi, sambil memelihara bukti berkaitan daripada endpoint, pelayar, proses dan rangkaian. Siasat komputer tersebut, akaun penggunanya dan sambungan keluar yang dibuat — jangan menganggapnya sebagai muat turun tidak diingini biasa.

Semak kemungkinan akses dalaman

Cari petunjuk di atas merentasi endpoint, DNS, proksi, firewall, identiti dan log akses jauh. Semak telemetri Active Directory serta pengawal domain untuk tinjauan, pertanyaan akaun atau kumpulan yang mencurigakan dan tanda-tanda pergerakan sisi. Keupayaan terowong balik menjadikan skop kebolehcapaian ke rangkaian dalaman amat penting. 4 29

Tukar bukti kelayakan yang mungkin terdedah

Tetapkan semula kata laluan dan batalkan sesi aktif atau token bagi pengguna yang terjejas. Utamakan akaun istimewa, akaun perkhidmatan dan akaun pentadbir yang pernah digunakan pada komputer terjejas, khususnya jika komputer itu boleh mencapai sistem sensitif.

Hadkan laluan pelaksanaan berisiko tinggi

Hadkan akses kepada PowerShell dan Windows Terminal kepada kumpulan pentadbiran atau pembangunan yang diluluskan, jika boleh. Gunakan prinsip keistimewaan minimum dan kawalan aplikasi, serta jana amaran bagi jurubahasa Python yang tidak diluluskan atau pelaksanaan dari direktori yang boleh ditulis pengguna.

Tingkatkan telemetri

Dayakan PowerShell Script Block Logging, module logging dan transcription jika sesuai. Pastikan pemantauan endpoint meliputi penciptaan proses, perubahan tugasan berjadual, persistence Registry, carian DNS dan sambungan TLS keluar. Isyarat ini boleh membantu menghubungkan umpan asal dalam pelayar dengan pelaksanaan dan aktiviti rangkaian yang berlaku selepasnya.

Sekat dan pantau infrastruktur yang dilaporkan

Sekat gitnow[.]dev dan siasat sambungan terdahulu ke domain tersebut. Namun, penyekatan domain perlu digandingkan dengan pemantauan tingkah laku, bukan digunakan sendirian, kerana infrastruktur yang dikawal penyerang boleh berubah.

Amaran untuk pengguna sangat mudah

CAPTCHA yang sah mungkin meminta pengguna menekan kotak atau melengkapkan interaksi dalam pelayar. Ia tidak sepatutnya menyuruh pengguna membuka terminal, menampal arahan yang tidak dikenali atau menjalankan PowerShell. Arahan itulah tanda amaran kejuruteraan sosial yang paling jelas dalam TerminalFix. 1 3

Bagi organisasi, latihan pengguna paling berkesan apabila menyebut tingkah laku yang perlu dielakkan dengan tepat: jangan sekali-kali menyalin dan melaksanakan arahan yang diberikan oleh laman web semata-mata untuk melepasi CAPTCHA atau “membaiki” masalah pelayar. Jika arahan itu sudah diikuti, laporkan kejadian dengan segera dan hentikan penggunaan peranti tersebut sehingga ia diperiksa.