TerminalFix: Bagaimana CAPTCHA Palsu Menjadikan PC Windows Proksi Terowong Songsang

TerminalFix ialah kempen kejuruteraan sosial yang didokumentasikan Microsoft pada 28 Ogos 2026. Ia merupakan variasi teknik ClickFix—bukannya mengeksploitasi kelemahan pelayar, penyerang memujuk mangsa supaya melaksanakan kod secara manual.

Serangan biasanya bermula pada laman web sah yang telah dikompromi, tetapi boleh berakhir dengan terowong songsang yang berterusan. Terowong ini memberi penyerang laluan melalui komputer Windows yang dijangkiti untuk mencapai perkhidmatan dalaman yang boleh dicapai oleh komputer tersebut. 1

Bagaimana serangan CAPTCHA palsu ini berlaku

Mangsa melayari laman web sah yang telah diubah suai. Kemudian, paparan bertindih yang menyerupai Cloudflare Turnstile muncul dengan arahan biasa seperti “sahkan bahawa anda manusia”.

Bahagian yang mencurigakan datang selepas itu: laman berkenaan meminta mangsa menyalin kandungan dan menampalnya ke dalam Windows Terminal atau PowerShell.

Itulah tanda amaran utama. CAPTCHA dan Turnstile ialah interaksi dalam pelayar; kedua-duanya tidak memerlukan pengguna membuka shell arahan atau melaksanakan kandungan daripada papan keratan. TerminalFix bergantung pada anda menganggap arahan itu sebahagian daripada proses pengesahan, bukannya kod yang perlu disemak terlebih dahulu. 1

Arahan kepada Windows Terminal atau PowerShell juga membolehkan penyerang menghantar arahan berbilang baris yang lebih kompleks berbanding umpan melalui kotak dialog Run biasa. 1

Rantaian muatan berperingkat

Selepas arahan dijalankan, serangan bergerak melalui beberapa lapisan yang cuba menyamarkan aktiviti berbahaya menggunakan alat dipercayai dan fail yang kelihatan biasa:

1. Penghantaran arkib: PowerShell memuat turun dan mengekstrak arkib ZIP ke dalam direktori yang kelihatan tersembunyi di bawah C:\ProgramData.
2. DLL sideloading: Arkib itu meletakkan LockScreenContentServer.exe yang ditandatangani Microsoft bersama fail dui70.dll yang dikawal penyerang. Apabila fail boleh laku tersebut mencari pustaka yang diperlukan dalam direktori setempat, ia memuatkan DLL berbahaya itu. Tandatangan digital pada fail EXE tidak menjadikan DLL bersebelahan dengannya sah.
3. Muatan tersembunyi dalam imej: Komponen seterusnya disembunyikan dalam data imej PNG melalui steganografi, menjadikannya kurang jelas ketika pemeriksaan fail atau muat turun secara asas.
4. Persistence: Entri Registry Run dan scheduled task membolehkan komponen malware dilancarkan semula selepas log masuk atau pada sela masa yang ditetapkan. 1

Bagi pasukan pertahanan, struktur ini bermakna menyekat satu nama fail sahaja mungkin tidak mencukupi. Tingkah laku seperti pelaksanaan PowerShell, pengekstrakan arkib, penempatan fail yang luar biasa, pemuatan DLL, akses kepada imej dan penciptaan persistence perlu dikaitkan melalui telemetri endpoint.

Apa yang dicari oleh malware

Analisis Microsoft menerangkan aktiviti penemuan pada peringkat sistem, pengguna, proses, perkhidmatan, rangkaian dan konteks keselamatan. Malware ini turut melakukan peninjauan Active Directory untuk mengenal pasti persekitaran domain serta sistem atau akaun yang mungkin berguna bagi akses susulan. 1

Pasukan keselamatan patut memberi perhatian kepada pertanyaan mencurigakan terhadap perkhidmatan direktori apabila ia berlaku bersama rantaian pelaksanaan TerminalFix. Aktiviti berkaitan boleh merangkumi penghitungan pengawal domain, pengguna, kumpulan, kepercayaan domain, perkongsian rangkaian, sistem jauh atau akaun berkeistimewaan.

Mengapa terowong songsang meningkatkan risiko

Komponen paling serius dalam kempen ini ialah implan Python client.py yang dilancarkan menggunakan pythonw.exe. Oleh sebab pythonw.exe tidak memaparkan tetingkap konsol biasa, proses itu mungkin kurang disedari oleh pengguna berbanding program baris arahan konvensional. 1

Klien tersebut berkomunikasi keluar melalui TLS dan WebSockets dengan gitnow[.]dev. Ia boleh menerima arahan untuk menyambung dari komputer mangsa ke alamat dan port dalaman tertentu, kemudian menyampaikan trafik TCP berkenaan melalui sambungan WebSocket yang disulitkan dalam model seperti SOCKS5. 1

Dalam istilah mudah, komputer yang dijangkiti boleh bertukar menjadi proksi rangkaian yang dikawal dari luar. Terowong ini tidak memberikan akses automatik kepada semua sistem dalaman—kebolehcapaian rangkaian dan kebenaran masih menjadi syarat. Namun, ia boleh mendedahkan perkhidmatan yang tidak boleh dicapai terus dari internet awam. Ini menjadikan insiden tersebut isu akses rangkaian dalaman, bukan sekadar malware pada sebuah PC.

Keutamaan pengesanan dan pemburuan ancaman

Cari gabungan petunjuk berikut, dan jangan menganggap satu artifak sahaja sebagai bukti muktamad:

• Sesi pelayar yang disusuli segera oleh pelaksanaan Windows Terminal atau PowerShell, khususnya selepas gesaan CAPTCHA atau “pengesahan”.
• PowerShell yang memuat turun, menyahkod, mengekstrak atau melaksanakan kandungan daripada papan keratan.
• PowerShell yang berjalan dalam tetingkap tersembunyi, atau aktiviti yang menulis arkib dan fail boleh laku ke lokasi ProgramData yang luar biasa.
• LockScreenContentServer.exe dijalankan di luar direktori Windows yang sepatutnya, terutama apabila berada bersama dui70.dll di lokasi luar biasa atau lokasi yang boleh ditulis pengguna.
• Fail PNG diakses sejurus sebelum DLL, fail Python, scheduled task atau entri Registry Run baharu muncul.
• Nilai HKCU atau HKLM ...\CurrentVersion\Run yang baharu atau telah diubah suai.
• Scheduled task dengan nama luar biasa, pelaksanaan berulang, laluan mencurigakan, PowerShell, pythonw.exe atau client.py dalam tindakannya.
• pythonw.exe dilancarkan dengan hujah client.py serta trafik TLS atau WebSocket keluar ke gitnow[.]dev.
• Penemuan Active Directory dan rangkaian daripada workstation yang biasanya tidak menjalankan penghitungan sedemikian. 1

Cari gitnow[.]dev dalam telemetri DNS, proksi, firewall, EDR, TLS/SNI dan WebSocket, kemudian sekat domain berkenaan mengikut proses tindak balas organisasi. Untuk hash, URL, laluan fail, nama task dan panduan pengesanan yang lengkap, rujuk nasihat Microsoft kerana nama fail dan infrastruktur boleh berubah. 1

Langkah selepas pelaksanaan disyaki

1. Asingkan endpoint. Putuskan komputer yang disyaki daripada rangkaian sambil mengekalkan memori, pepohon proses, log PowerShell, definisi scheduled task, kunci persistence, rekod DNS dan proksi serta telemetri EDR.
2. Sekat dan tentukan skop. Sekat domain dan infrastruktur penghantaran yang dikenal pasti pada lapisan DNS, secure web gateway, proksi, firewall dan endpoint. Jalankan pemburuan di seluruh persekitaran untuk mencari rantaian pelaksanaan yang sama sebelum sistem disambungkan semula.
3. Lindungi identiti. Anggap kelayakan yang digunakan atau disimpan pada hos berkenaan mungkin telah terdedah. Selepas pembendungan dan penentuan skop awal, tukar kata laluan serta batalkan sesi dan token aktif yang berkaitan. Dahulukan akaun berkeistimewaan, domain, awan, VPN, pelayar, perkhidmatan dan API yang boleh dicapai dari komputer tersebut.
4. Siasat aktiviti dalaman. Semak pengesahan Active Directory, akses jauh, pelayan fail, VPN dan alat pentadbiran yang berkaitan dengan endpoint serta penggunanya.
5. Bina semula jika perlu. Pasang semula imej sistem bagi komputer yang disahkan terjejas apabila boleh dilakukan. Memadam satu DLL, scheduled task atau kunci Registry Run mungkin tidak menghapuskan persistence tambahan atau akses yang telah diwujudkan melalui terowong.

Kawalan yang boleh mengurangkan risiko

Organisasi patut mengehadkan penggunaan PowerShell dan Windows Terminal mengikut peranan, serta menggunakan kawalan aplikasi seperti WDAC atau AppLocker apabila sesuai. Jangan bergantung pada execution policy semata-mata kerana ia bukan sempadan keselamatan yang mencukupi. Prinsip keistimewaan minimum dan penghapusan hak pentadbir tempatan yang tidak diperlukan juga boleh mengehadkan kesan serangan.

Pengumpulan berpusat bagi PowerShell Script Block Logging—termasuk Event ID 4104—bersama module logging, transcription apabila sesuai, AMSI, pengesanan endpoint, tamper protection dan log penciptaan proses boleh membantu membina semula rantaian serangan. Kawalan pelayar dan web juga wajar memantau pengalihan daripada laman yang dikompromi, suntikan skrip berbahaya, manipulasi papan keratan yang mencurigakan dan infrastruktur arahan serta kawalan yang diketahui. 1

Untuk latihan pengguna, gunakan satu peraturan yang mudah diingati: jangan sekali-kali menampal arahan ke dalam Run, Command Prompt, PowerShell atau Windows Terminal hanya kerana laman web, CAPTCHA, ralat pelayar, iklan atau halaman sokongan menyuruh anda berbuat demikian. Tutup laman tersebut dan laporkan URL berkenaan.

TerminalFix menunjukkan bagaimana komponen dipercayai boleh menjadi sebahagian daripada rantaian serangan. Fail boleh laku yang ditandatangani, Python, TLS, WebSockets, imej dan laman web sah mungkin kelihatan biasa jika diperiksa secara berasingan. Pertahanan yang berkesan memerlukan pengaitan tingkah laku, pengasingan endpoint dengan segera dan perlindungan identiti—bukan sekadar menyekat satu nama fail atau tandatangan. 1