TerminalFix uitgelegd: zo veranderen nep-CAPTCHA’s Windows-pc’s in proxies voor aanvallers

TerminalFix is een campagne voor social engineering die Microsoft op 28 augustus 2026 documenteerde. Het is een variant van de ClickFix-techniek: aanvallers maken geen misbruik van een browserkwetsbaarheid, maar overtuigen een gebruiker ervan zelf code uit te voeren. De aanval begint op een legitieme website die is gemanipuleerd en kan eindigen met een permanente reverse tunnel. Daarmee krijgt de aanvaller via de besmette Windows-pc een route naar interne diensten die vanaf internet normaal niet bereikbaar zijn. 1

Zo werkt de nep-CAPTCHA

Het slachtoffer bezoekt een legitieme website waarop aanvallers een overlay in de stijl van Cloudflare Turnstile hebben geplaatst. De bezoeker krijgt een vertrouwde melding te zien, zoals ‘bevestig dat je een mens bent’. Daarna volgt echter een ongebruikelijke instructie: kopieer inhoud en plak die in Windows Terminal of PowerShell.

Dat is het duidelijke alarmsignaal. CAPTCHA- en Turnstile-controles worden in de browser uitgevoerd; ze vereisen niet dat iemand een opdrachtprompt opent of inhoud uit het klembord uitvoert. TerminalFix speelt in op het idee dat het commando onderdeel is van de verificatie, in plaats van code die eerst gecontroleerd moet worden. 1

Door slachtoffers naar Windows Terminal of PowerShell te sturen, kunnen de aanvallers bovendien complexere scripts met meerdere regels uitvoeren dan via een traditionele lokactie in het venster Uitvoeren. 1

Een aanval in meerdere stappen

Na het uitvoeren van het commando volgt een keten die kwaadaardige activiteit moet laten opgaan in vertrouwde hulpmiddelen en ogenschijnlijk normale bestanden:

1. Download van een archief: PowerShell downloadt een ZIP-bestand en pakt dit uit in een weinig opvallende map onder C:\ProgramData.
2. DLL-sideloading: het archief bevat het door Microsoft ondertekende LockScreenContentServer.exe naast door de aanvaller geleverde dui70.dll-bestanden. Wanneer het uitvoerbare bestand in zijn eigen map naar een benodigde bibliotheek zoekt, laadt het de kwaadaardige DLL. De handtekening maakt de DLL zelf niet legitiem; de aanvallers misbruiken het vertrouwen in het ondertekende uitvoerbare bestand.
3. Verborgen payloads in afbeeldingen: latere onderdelen worden verstopt in PNG-gegevens via steganografie. Daardoor vallen ze minder snel op bij een eenvoudige controle van bestanden of downloads.
4. Persistentie: registervermeldingen onder Run en geplande taken zorgen ervoor dat onderdelen opnieuw starten na het aanmelden of op geplande momenten. 1

Voor verdedigers is dit belangrijk: één bestandsnaam blokkeren is waarschijnlijk niet genoeg. De campagne bestaat uit een samenhangend patroon van PowerShell-uitvoering, archiefextractie, ongebruikelijke bestandslocaties, DLL-lading, het uitlezen van afbeeldingen en persistentie. Die signalen moeten in endpointtelemetrie met elkaar worden verbonden.

Waar zoekt de malware naar?

Volgens Microsoft voert de malware verkenning uit van het systeem en netwerk, waaronder de systeem-, gebruikers-, proces-, service-, netwerk- en beveiligingscontext. Ook wordt Active Directory onderzocht om de domeinomgeving en mogelijk interessante systemen of accounts in kaart te brengen. 1

Beveiligingsteams doen er daarom goed aan verdachte directoryservice-query’s vanaf een gewone werkplek nader te bekijken, zeker wanneer die samenvallen met de TerminalFix-keten. Denk aan het inventariseren van domeincontrollers, gebruikers, groepen, vertrouwensrelaties, shares, externe systemen of accounts met verhoogde rechten.

Waarom de reverse tunnel het risico vergroot

Het belangrijkste onderdeel van de campagne is een Python-implantaat, client.py, dat wordt gestart met pythonw.exe. Omdat pythonw.exe normaal gesproken geen consolevenster toont, kan het proces voor de gebruiker minder zichtbaar zijn dan een gebruikelijk commandoregelprogramma. 1

De client maakt via TLS en WebSockets uitgaande verbinding met gitnow[.]dev. De aanvaller kan vervolgens opdracht geven om vanaf de besmette pc verbinding te maken met een intern adres en een interne poort. Het TCP-verkeer wordt daarna via de versleutelde WebSocket-verbinding doorgestuurd, in een model dat lijkt op SOCKS5. 1

In de praktijk kan de besmette computer zo veranderen in een netwerkproxy die van buitenaf wordt bestuurd. De tunnel geeft niet automatisch toegang tot elk intern systeem: bereikbaarheid en toegangsrechten blijven bepalend. Wel kunnen diensten zichtbaar worden die niet rechtstreeks vanaf het openbare internet bereikbaar zijn. De besmetting is daarmee niet alleen een probleem van malware op één pc, maar ook van mogelijke toegang tot het interne netwerk.

Waar moeten organisaties op letten?

Zoek vooral naar combinaties van signalen; geen enkel afzonderlijk artefact is op zichzelf beslissend:

• Een browsersessie die direct wordt gevolgd door het starten van Windows Terminal of PowerShell, vooral na een CAPTCHA- of verificatiemelding.
• PowerShell die inhoud uit het klembord downloadt, decodeert, uitpakt of uitvoert.
• PowerShell met een verborgen venster of het schrijven van archieven en uitvoerbare bestanden naar ongebruikelijke locaties onder ProgramData.
• LockScreenContentServer.exe dat buiten de verwachte Windows-map draait, vooral naast dui70.dll in een ongebruikelijke of door gebruikers beschrijfbare map.
• PNG-bestanden die kort voordat nieuwe DLL’s, Python-bestanden, geplande taken of Run-vermeldingen verschijnen, door scripts of programma’s worden geopend.
• Nieuwe of gewijzigde waarden onder HKCU of HKLM in ...\CurrentVersion\Run.
• Geplande taken met ongebruikelijke namen, terugkerende uitvoering, verdachte paden, PowerShell, pythonw.exe of client.py in de actie.
• pythonw.exe met client.py als argument en uitgaand TLS- of WebSocket-verkeer naar gitnow[.]dev.
• Active Directory- en netwerkverkenning vanaf een werkstation dat normaal geen dergelijke inventarisaties uitvoert. 1

Doorzoek DNS-, proxy-, firewall-, EDR-, TLS/SNI- en WebSocket-telemetrie op gitnow[.]dev. Gebruik voor de volledige hashes, URL’s, bestandspaden, taaknamen en detectie-instructies het advies van Microsoft. Bestandsnamen en infrastructuur kunnen veranderen. 1

Wat te doen na een vermoedelijke uitvoering

1. Isoleer de pc. Koppel het verdachte apparaat los van het netwerk, maar bewaar waar mogelijk geheugen, procesbomen, PowerShell-logs, definities van geplande taken, persistentiesleutels, DNS- en proxygegevens en EDR-telemetrie.
2. Blokkeer en onderzoek. Blokkeer bekende domeinen en distributie-infrastructuur in DNS, beveiligde webgateways, proxy’s, firewalls en endpointbeveiliging. Zoek vóór het opnieuw aansluiten van systemen in de hele omgeving naar dezelfde uitvoeringsketen.
3. Bescherm accounts. Ga ervan uit dat inloggegevens die op de pc zijn gebruikt of opgeslagen mogelijk zijn blootgesteld. Reset na de eerste inschatting van de omvang relevante wachtwoorden en trek actieve sessies en tokens in. Geef prioriteit aan beheerders-, domein-, cloud-, VPN-, browser-, service- en API-accounts die vanaf het apparaat toegankelijk waren.
4. Onderzoek interne activiteit. Controleer Active Directory-authenticatie, externe toegang, bestandsservers, VPN’s en beheerprogramma’s die verband houden met de pc en de gebruiker.
5. Herbouw indien nodig. Installeer bevestigde besmette systemen waar mogelijk opnieuw. Alleen een DLL, geplande taak of Run-vermelding verwijderen kan onvoldoende zijn als de aanvaller via de tunnel al extra toegang of persistentie heeft opgebouwd.

Maatregelen die de kans op besmetting verkleinen

Organisaties kunnen PowerShell en Windows Terminal beperken tot rollen die ze nodig hebben. Application control, bijvoorbeeld met WDAC of AppLocker, kan daarbij helpen. Vertrouw niet uitsluitend op de PowerShell-uitvoeringspolicy: die is geen volwaardige beveiligingsgrens. Least privilege en het wegnemen van onnodige lokale beheerdersrechten beperken bovendien de impact van een geslaagde lokactie.

Verzamel centraal PowerShell Script Block Logging, waaronder Event ID 4104, aangevuld met module-logging en waar passend transcriptie. AMSI, endpointdetectie, bescherming tegen manipulatie en logging van procesaanmaak helpen de volledige uitvoeringsketen te reconstrueren. Browser- en webbeveiliging moet daarnaast letten op omleidingen vanaf gecompromitteerde websites, kwaadaardige scriptinjectie, verdachte manipulatie van het klembord en bekende command-and-control-infrastructuur. 1

Gebruikerstraining moet uitmonden in één simpele regel: plak nooit commando’s in Uitvoeren, de opdrachtprompt, PowerShell of Windows Terminal omdat een website, CAPTCHA, browserfout, advertentie of supportpagina dat vraagt. Sluit de pagina en meld de URL.

TerminalFix laat zien dat vertrouwde onderdelen toch samen een kwaadaardige keten kunnen vormen. Een ondertekend uitvoerbaar bestand, Python, TLS, WebSockets, afbeeldingsbestanden en een legitieme website kunnen afzonderlijk onschuldig lijken. Een effectieve verdediging vraagt daarom om gedragingen met elkaar te correleren, endpoints snel te isoleren en accounts direct te beschermen — niet alleen om één bestandsnaam of handtekening te blokkeren. 1