TerminalFix usa CAPTCHAs falsos para transformar PCs Windows em portas de entrada para redes internas

O TerminalFix é uma campanha de ClickFix acompanhada pela Microsoft que substitui uma verificação de segurança aparentemente comum por uma instrução perigosa: abrir o Windows Terminal ou o PowerShell, colar um comando e executá-lo. Em 28 de agosto de 2026, a Microsoft descreveu a atividade como uma variante que usa sites comprometidos e uma falsa verificação de CAPTCHA do Cloudflare para iniciar uma intrusão em várias etapas. 3

O risco vai muito além de um simples download de malware. O estágio final relatado é um implante de túnel reverso capaz de oferecer acesso de proxy em nível de rede por meio do computador Windows comprometido. Na prática, isso pode criar uma rota para que o operador alcance sistemas e serviços internos acessíveis a partir da máquina infectada. 3 15

Como funciona o ataque TerminalFix

1. Um site legítimo comprometido vira o ponto de entrega

Os invasores comprometem sites que, originalmente, podem ser legítimos e colocam sobre a página uma camada falsa de CAPTCHA no estilo do Cloudflare Turnstile. A isca tenta parecer uma verificação rotineira de “provar que você é humano”, mas orienta o visitante a copiar e colar um comando no Windows Terminal ou no PowerShell. 3 29

Essa mudança é uma parte central da campanha. Ataques ClickFix tradicionais costumam direcionar a vítima para a caixa de diálogo Executar do Windows. O TerminalFix, por outro lado, usa o Windows Terminal ou o PowerShell, o que facilita a execução bem-sucedida de scripts mais complexos e com várias linhas. 1 3

2. O PowerShell baixa os componentes usados no sideloading

A cadeia de comandos colada pelo usuário baixa um arquivo ZIP com dois elementos importantes:

• o executável legítimo e assinado LockScreenContentServer.exe;
• a DLL maliciosa dui70.dll.

Quando o executável assinado é iniciado, ele carrega a DLL controlada pelo invasor por meio de DLL sideloading — técnica que explora a forma como o Windows procura bibliotecas necessárias para um programa. O uso de um executável assinado pode fazer a cadeia parecer menos suspeita do que a execução direta de um binário desconhecido.

Os relatos fornecidos identificam esses nomes de arquivo, mas não comprovam hashes exatos nem que o executável legítimo tenha sido modificado. 29

3. Arquivos PNG escondem as cargas seguintes

A campanha esconde componentes dos estágios posteriores dentro de arquivos PNG usando esteganografia. Os arquivos são lidos e decodificados localmente, permitindo que a intrusão recupere código adicional sem apresentar cada etapa como um download claramente executável. 10 29

4. Persistência e reconhecimento vêm em seguida

A atividade descrita estabelece persistência de duas formas: por meio de uma entrada Run no Registro do Windows e de uma tarefa agendada. O malware também realiza reconhecimento do computador e do Active Directory antes de implantar o túnel, elevando o risco para além do primeiro endpoint infectado. 4 29

Essa combinação é especialmente relevante para os defensores. Um usuário que executou o comando exibido pelo CAPTCHA falso pode não estar lidando apenas com uma infecção isolada em sua estação de trabalho. A máquina pode se tornar um ponto de apoio para descoberta de recursos e acesso à rede.

5. Um implante em Python abre o túnel reverso

A campanha instala um componente de túnel reverso baseado em Python por meio do pythonw.exe. Ele se comunica com gitnow[.]dev usando TLS e WebSockets na porta TCP 443 e retransmite tráfego TCP no estilo SOCKS5. Em termos práticos, o computador infectado pode funcionar como um proxy entre o operador e recursos acessíveis a partir da rede da vítima. 3 10

Por isso, a descrição da Microsoft sobre acesso de proxy em nível de rede é mais grave do que um alerta convencional de infostealer: o objetivo pode incluir alcançar a rede interna, e não apenas coletar dados do primeiro computador comprometido. 3 15

Indicadores para investigar

As fontes fornecidas não incluem uma tabela completa de IOCs da Microsoft, hashes ou todos os nomes de comandos e mecanismos de persistência. Os itens abaixo devem ser tratados como pontos de partida para caça a ameaças, e não como substitutos das detecções originais da Microsoft.

Atividade de rede

• Consultas DNS e conexões de proxy, firewall, TLS ou WebSocket para gitnow[.]dev.
• Tráfego de saída incomum na porta TCP 443 a partir de estações de trabalho de usuários.
• Conexões iniciadas logo após uma sessão suspeita no navegador ou a execução do PowerShell.

Processos e arquivos

• pythonw.exe sendo executado a partir de um diretório inesperado.
• pythonw.exe iniciado pelo PowerShell, pelo Windows Terminal ou pelo LockScreenContentServer.exe.
• LockScreenContentServer.exe armazenado no mesmo diretório que dui70.dll.
• Arquivos ZIP baixados para pastas de perfil de usuário ou diretórios temporários.
• Arquivos PNG lidos ou decodificados pelo PowerShell ou pelo Python.
• Scripts, interpretadores Python ou runtimes incorporados executados a partir de locais graváveis pelo usuário.

Persistência

• Novas entradas desconhecidas ou incomuns na chave Run do Registro.
• Tarefas agendadas que iniciam PowerShell, Python, pythonw.exe ou arquivos localizados em %AppData%, %LocalAppData%, %Temp%, Downloads ou pastas semelhantes.

Comportamento na linha de comando

• Atividade interativa no PowerShell ou no Windows Terminal imediatamente depois de uma visita a um site.
• Cadeias que baixam, decodificam e executam conteúdo.
• PowerShell codificado ou fortemente ofuscado.
• Comandos colados no terminal durante uma suposta etapa de CAPTCHA ou verificação.

O que fazer após uma possível exposição

Isole primeiro e preserve as evidências

Desconecte a máquina suspeita da rede seguindo o procedimento de resposta a incidentes da organização, mas preserve evidências relevantes do endpoint, do navegador, dos processos e da rede. Investigue o computador, a conta do usuário e as conexões de saída — não trate o caso como um simples download indesejado.

Procure sinais de acesso interno

Busque os indicadores acima em endpoints, registros de DNS, proxy, firewall, identidade e acesso remoto. Analise a telemetria do Active Directory e dos controladores de domínio em busca de reconhecimento, consultas suspeitas a contas ou grupos e indícios de movimento lateral. A capacidade de túnel reverso torna especialmente importante verificar quais recursos internos estavam acessíveis. 4 29

Troque credenciais potencialmente expostas

Redefina as credenciais e revogue sessões ou tokens ativos dos usuários afetados. Dê prioridade a contas privilegiadas, de serviço e de administrador usadas na máquina comprometida, sobretudo se ela tinha acesso a sistemas sensíveis.

Restrinja caminhos de execução de alto risco

Quando possível, limite o acesso ao PowerShell e ao Windows Terminal a grupos administrativos ou de desenvolvimento aprovados. Aplique o princípio do menor privilégio e controles de aplicação, além de criar alertas para interpretadores Python não autorizados ou execução a partir de diretórios graváveis pelo usuário.

Reforce a telemetria

Ative o registro de blocos de script do PowerShell, o registro de módulos e a transcrição, quando apropriado. Garanta que as ferramentas de endpoint monitorem criação de processos, alterações em tarefas agendadas, persistência no Registro, consultas DNS e conexões TLS de saída. Esses sinais ajudam a relacionar a isca exibida no navegador às atividades posteriores de execução e rede.

Bloqueie e monitore a infraestrutura identificada

Bloqueie gitnow[.]dev e investigue conexões históricas com o domínio. O bloqueio de domínio deve ser combinado com monitoramento comportamental, pois a infraestrutura controlada pelos invasores pode mudar.

O alerta para usuários é simples

Um CAPTCHA legítimo pode pedir que a pessoa marque uma caixa ou conclua uma interação dentro do navegador. Ele não deve orientar o usuário a abrir um terminal, colar um comando desconhecido ou executar o PowerShell. Essa instrução é o principal sinal de engenharia social no TerminalFix. 1 3

Para as organizações, a conscientização funciona melhor quando descreve exatamente o comportamento que deve ser evitado: nunca copie e execute um comando fornecido por uma página para passar por um CAPTCHA ou “corrigir” um problema no navegador. Se alguém já seguiu essa instrução, o mais seguro é comunicar o incidente imediatamente e parar de usar o dispositivo até que ele seja avaliado.