TerminalFix: jak fałszywe CAPTCHA instalują tunel zwrotny na komputerze z Windowsem

TerminalFix to kampania inżynierii społecznej opisana przez Microsoft 28 sierpnia 2026 r. Jest odmianą techniki ClickFix: zamiast wykorzystywać lukę w przeglądarce, przestępcy przekonują użytkownika, aby samodzielnie uruchomił kod. Atak może rozpocząć się na zmodyfikowanej legalnej stronie, a zakończyć ustanowieniem trwałego tunelu zwrotnego, który daje napastnikowi drogę przez zainfekowany komputer do dostępnych z niego usług wewnętrznych. 1

Jak działa atak z fałszywą CAPTCHA

Ofiara odwiedza legalną stronę internetową, którą wcześniej zmodyfikowali napastnicy. Na ekranie pojawia się nakładka przypominająca Cloudflare Turnstile z komunikatem w rodzaju „potwierdź, że jesteś człowiekiem”. Kluczowy jest kolejny krok: strona nakazuje skopiować treść i wkleić ją do Windows Terminal albo PowerShella.

To wyraźny sygnał ostrzegawczy. CAPTCHA i Turnstile są interakcjami obsługiwanymi w przeglądarce — nie wymagają otwierania powłoki systemowej ani uruchamiania zawartości schowka. TerminalFix wykorzystuje fakt, że użytkownik może uznać polecenie za część procesu weryfikacji, zamiast rozpoznać w nim kod. 1

Skierowanie ofiary do Windows Terminal lub PowerShella pozwala też dostarczyć bardziej złożone, wielowierszowe polecenia niż klasyczna przynęta wykorzystująca okno Uruchamianie. 1

Wieloetapowy łańcuch infekcji

Po uruchomieniu polecenia kampania przechodzi przez kilka warstw, które mają połączyć złośliwą aktywność z zaufanymi narzędziami i niepozornymi plikami:

1. Dostarczenie archiwum: PowerShell pobiera archiwum ZIP i rozpakowuje je do wyglądającego na ukryty katalogu w C:\ProgramData.
2. Sideloading DLL: archiwum umieszcza podpisany przez Microsoft plik LockScreenContentServer.exe obok kontrolowanych przez napastników plików dui70.dll. Gdy program szuka wymaganej biblioteki w swoim katalogu, ładuje złośliwą DLL. Wykorzystuje to zaufanie do podpisanego pliku wykonywalnego, ale nie sprawia, że sama biblioteka staje się legalna.
3. Ładunki ukryte w obrazach: kolejne komponenty są ukrywane w danych plików PNG za pomocą steganografii, przez co trudniej zauważyć je podczas podstawowej kontroli plików i pobieranych treści.
4. Utrzymanie dostępu: wpisy w rejestrze Run oraz zadania harmonogramu pozwalają komponentom uruchamiać się ponownie po zalogowaniu lub w zaplanowanych odstępach. 1

Dla zespołów obrony oznacza to, że zablokowanie jednej nazwy pliku prawdopodobnie nie wystarczy. Kampania składa się z szeregu zachowań — uruchamiania PowerShella, rozpakowywania archiwum, nietypowego zapisu plików, ładowania DLL, odczytu obrazów i ustanawiania trwałości — które należy korelować w telemetrii urządzeń końcowych.

Czego szuka złośliwe oprogramowanie

Analiza Microsoftu opisuje rozpoznanie systemu i sieci obejmujące kontekst komputera, użytkownika, procesów, usług, sieci oraz zabezpieczeń. Malware prowadzi również rekonesans w Active Directory, aby ustalić środowisko domenowe i znaleźć systemy lub konta przydatne przy dalszym dostępie. 1

Dla zespołów bezpieczeństwa podejrzane zapytania do usług katalogowych z typowej stacji roboczej powinny zwrócić uwagę szczególnie wtedy, gdy występują razem z łańcuchem uruchomieniowym TerminalFix. Warto analizować m.in. wyszukiwanie kontrolerów domeny, użytkowników, grup, relacji zaufania, udziałów sieciowych, systemów zdalnych i kont uprzywilejowanych.

Dlaczego tunel zwrotny zwiększa ryzyko

Najpoważniejszym elementem kampanii jest implant client.py napisany w Pythonie i uruchamiany przez pythonw.exe. Ten program nie wyświetla zwykłego okna konsoli, więc może być dla użytkownika mniej widoczny niż standardowe narzędzie wiersza poleceń. 1

Klient nawiązuje wychodzące połączenie TLS i WebSocket z gitnow[.]dev. Może otrzymać instrukcję, aby z komputera ofiary połączyć się z określonym adresem wewnętrznym i portem, a następnie przekazywać ruch TCP przez zaszyfrowane połączenie WebSocket w modelu podobnym do SOCKS5. 1

W praktyce zainfekowany komputer staje się sterowanym z zewnątrz proxy sieciowym. Tunel nie daje automatycznie dostępu do każdego systemu wewnętrznego — nadal liczą się osiągalność sieciowa i uprawnienia. Może jednak udostępnić usługi, które nie są bezpośrednio dostępne z publicznego internetu. Incydent przestaje być więc problemem jednego komputera i staje się zagrożeniem dla dostępu do sieci wewnętrznej.

Na co polować i co wykrywać

Warto szukać kombinacji poniższych sygnałów, a nie traktować pojedynczego artefaktu jako rozstrzygającego dowodu:

• sesja przeglądarki, po której niemal natychmiast uruchomiono Windows Terminal lub PowerShell, zwłaszcza po wyświetleniu CAPTCHA albo komunikatu o weryfikacji;
• PowerShell pobierający, dekodujący, rozpakowujący lub uruchamiający zawartość dostarczoną ze schowka;
• PowerShell uruchomiony z ukrytym oknem albo zapis archiwów i plików wykonywalnych w nietypowych lokalizacjach pod ProgramData;
• LockScreenContentServer.exe uruchamiany poza oczekiwanym katalogiem Windows, szczególnie obok dui70.dll w nietypowym lub zapisywalnym przez użytkownika miejscu;
• dostęp do plików PNG tuż przed pojawieniem się nowych bibliotek DLL, plików Pythona, zadań harmonogramu lub wpisów Run;
• nowe albo zmodyfikowane wartości HKCU lub HKLM w ...\CurrentVersion\Run;
• zadania harmonogramu o nietypowych nazwach, cyklicznym uruchamianiu, podejrzanych ścieżkach lub akcjach zawierających PowerShell, pythonw.exe albo client.py;
• pythonw.exe uruchomiony z argumentem client.py oraz wychodzący ruch TLS lub WebSocket do gitnow[.]dev;
• rozpoznanie Active Directory i sieci prowadzone ze stacji roboczej, która zwykle nie wykonuje takich operacji. 1

Warto przeszukać dane DNS, proxy, zapór sieciowych, EDR, TLS/SNI oraz WebSockets pod kątem gitnow[.]dev. Kompletne hasze, adresy URL, ścieżki plików, nazwy zadań i wskazówki detekcyjne należy sprawdzić w poradniku Microsoftu, ponieważ nazwy plików i infrastruktura mogą się zmieniać. 1

Co zrobić po podejrzeniu uruchomienia

1. Odizolować urządzenie. Odłącz podejrzany komputer od sieci, zachowując jednocześnie dane z pamięci, drzewa procesów, logi PowerShella, definicje zadań harmonogramu, klucze odpowiedzialne za trwałość, rekordy DNS i proxy oraz telemetrię EDR.
2. Zablokować infrastrukturę i określić zasięg. Zablokuj wskazane domeny i elementy infrastruktury dostarczającej malware w DNS, bezpiecznych bramach internetowych, proxy, zaporach i narzędziach ochrony punktów końcowych. Przed ponownym podłączeniem systemu przeszukaj całe środowisko pod kątem tego samego łańcucha uruchomieniowego.
3. Zabezpieczyć tożsamości. Przyjmij, że dane uwierzytelniające używane lub przechowywane na komputerze mogły zostać ujawnione. Po opanowaniu incydentu i wstępnym określeniu jego zakresu zmień odpowiednie hasła oraz unieważnij aktywne sesje i tokeny. Priorytetem powinny być konta uprzywilejowane i domenowe, a także dane do VPN, przeglądarek, chmury, usług, API i kont serwisowych dostępnych z tego urządzenia.
4. Sprawdzić aktywność wewnętrzną. Przeanalizuj uwierzytelnienia w Active Directory, dostęp zdalny, serwery plików, VPN oraz użycie narzędzi administracyjnych powiązane z komputerem i jego użytkownikiem.
5. Odbudować system, jeśli to konieczne. W miarę możliwości ponownie zainstaluj system na potwierdzenie przejętych urządzeniach. Usunięcie jednej biblioteki DLL, zadania lub wpisu Run może nie wystarczyć, jeśli napastnicy ustanowili dodatkową trwałość albo wykorzystali tunel do dalszego dostępu.

Zabezpieczenia ograniczające ryzyko

Organizacje powinny ograniczać użycie PowerShella i Windows Terminala zgodnie z rolami użytkowników, a tam, gdzie to uzasadnione, stosować kontrolę aplikacji, np. WDAC lub AppLocker. Nie należy polegać wyłącznie na Execution Policy — nie jest ona granicą bezpieczeństwa. Zasada najmniejszych uprawnień i odebranie zbędnych praw lokalnego administratora ograniczają skutki udanej przynęty.

Centralnie gromadzone logowanie bloków skryptów PowerShella, w tym zdarzenie o identyfikatorze 4104, a także logowanie modułów, transkrypcja — tam, gdzie jest właściwa — AMSI, ochrona przed manipulacją i rejestrowanie tworzenia procesów pomagają odtworzyć cały łańcuch uruchomieniowy. Zabezpieczenia przeglądarek i sieci powinny również wykrywać przekierowania z przejętych stron, wstrzykiwanie złośliwych skryptów, podejrzane manipulowanie schowkiem i znaną infrastrukturę dowodzenia i kontroli. 1

Szkolenie użytkowników powinno opierać się na jednej prostej zasadzie: nigdy nie wklejaj poleceń do okna Uruchamianie, wiersza poleceń, PowerShella ani Windows Terminala tylko dlatego, że prosi o to strona internetowa, CAPTCHA, błąd przeglądarki, reklama lub rzekoma pomoc techniczna. Zamknij stronę i zgłoś jej adres.

TerminalFix pokazuje, że zaufane elementy mogą stać się częścią złośliwego łańcucha. Podpisany program, Python, TLS, WebSockets, pliki graficzne i legalna witryna mogą osobno wyglądać zwyczajnie. Skuteczna obrona wymaga więc korelowania zachowań, szybkiej izolacji urządzeń i ochrony tożsamości — nie tylko blokowania pojedynczej nazwy pliku lub sygnatury. 1