TerminalFix: como CAPTCHAs falsos transformam PCs Windows em proxies para invasores

O TerminalFix é uma campanha de engenharia social documentada pela Microsoft em 28 de agosto de 2026. Trata-se de uma variante da técnica ClickFix: em vez de explorar uma falha no navegador, os criminosos convencem a própria vítima a executar o código manualmente. O ataque começa em um site legítimo comprometido, mas pode terminar com um túnel reverso persistente, dando ao invasor uma rota pelo computador infectado até serviços internos acessíveis. 1

Como funciona o golpe do CAPTCHA falso

A vítima acessa um site legítimo que foi alterado pelos criminosos. Em seguida, surge uma sobreposição que imita a verificação Cloudflare Turnstile, com a conhecida mensagem para confirmar que a pessoa não é um robô.

O detalhe decisivo vem depois: a página orienta o visitante a copiar um conteúdo e colá-lo no Windows Terminal ou no PowerShell.

Essa instrução é um forte sinal de alerta. CAPTCHAs e verificações Turnstile são interações feitas no navegador; elas não exigem que o usuário abra um terminal nem execute conteúdo da área de transferência. O TerminalFix explora a confiança da vítima, fazendo-a acreditar que o comando faz parte da verificação, quando na verdade é código malicioso. 1

Ao direcionar o usuário para o Windows Terminal ou o PowerShell, os criminosos também conseguem entregar comandos mais complexos e com várias linhas, algo mais difícil de executar por meio de uma isca tradicional baseada na janela Executar do Windows. 1

A cadeia de instalação em várias etapas

Depois que o comando é executado, a campanha passa por diversas camadas que misturam atividade maliciosa com ferramentas confiáveis e arquivos aparentemente comuns:

1. Entrega de arquivo compactado: o PowerShell baixa e descompacta um arquivo ZIP em um diretório com aparência oculta sob C:\ProgramData.
2. Sideloading de DLL: o arquivo compactado coloca o executável assinado pela Microsoft LockScreenContentServer.exe ao lado de arquivos dui70.dll controlados pelos invasores. Quando o executável procura uma biblioteca necessária em seu próprio diretório, acaba carregando a DLL maliciosa. O abuso está na confiança depositada no executável assinado; isso não torna a DLL legítima.
3. Cargas ocultas em imagens: componentes posteriores são escondidos dentro de dados de imagens PNG usando esteganografia, dificultando a identificação por inspeções básicas de arquivos e downloads.
4. Persistência: entradas de inicialização no Registro e tarefas agendadas permitem que os componentes sejam executados novamente após o logon ou em intervalos programados. 1

Para as equipes de defesa, essa estrutura mostra por que bloquear apenas um nome de arquivo provavelmente não basta. A investigação deve correlacionar comportamentos como execução do PowerShell, extração de arquivos, gravação em locais incomuns, carregamento de DLLs, acesso a imagens e criação de mecanismos de persistência.

O que o malware procura no computador e na rede

A análise da Microsoft descreve atividades de descoberta no sistema e na rede, incluindo informações sobre o computador, usuários, processos, serviços, conexões e contexto de segurança. O malware também realiza reconhecimento do Active Directory, ajudando a identificar o domínio, sistemas e contas que podem ser úteis em etapas posteriores do ataque. 1

Por isso, consultas suspeitas a serviços de diretório feitas por uma estação de trabalho comum merecem atenção quando aparecem junto da cadeia de execução do TerminalFix. Entre os sinais relevantes estão a enumeração de controladores de domínio, usuários, grupos, relações de confiança, compartilhamentos, sistemas remotos e contas privilegiadas.

Por que o túnel reverso aumenta o risco

O componente mais preocupante da campanha é um implante Python chamado client.py, executado por meio do pythonw.exe. Como esse executável normalmente não exibe uma janela de console, sua atividade pode ser menos perceptível para o usuário do que a de um programa convencional de linha de comando. 1

O cliente se comunica de forma externa, usando TLS e WebSockets, com gitnow[.]dev. Ele pode receber instruções para se conectar, a partir do computador da vítima, a um endereço e uma porta internos. Depois, retransmite o tráfego TCP pelo canal WebSocket criptografado, em um modelo semelhante ao SOCKS5. 1

Na prática, o computador infectado pode virar um proxy de rede controlado externamente. Isso não significa acesso automático a todos os sistemas internos: a conectividade e as permissões disponíveis continuam sendo relevantes. Ainda assim, serviços que não são diretamente alcançáveis pela internet podem ficar expostos ao invasor. O incidente deixa de ser apenas um caso de malware em um PC e passa a representar um possível ponto de entrada na rede interna.

Indicadores e prioridades de detecção

O ideal é procurar combinações de sinais, e não tratar um único artefato como prova conclusiva. Entre os principais indicadores estão:

• Uma sessão do navegador seguida imediatamente pela abertura do Windows Terminal ou do PowerShell, especialmente depois de um CAPTCHA ou de uma solicitação de verificação.
• PowerShell usado para baixar, decodificar, extrair ou executar conteúdo fornecido pela área de transferência.
• PowerShell executado com janela oculta ou gravação de arquivos ZIP e executáveis em locais incomuns dentro de ProgramData.
• LockScreenContentServer.exe sendo executado fora do diretório esperado do Windows, sobretudo quando aparece ao lado de dui70.dll em uma pasta incomum ou gravável pelo usuário.
• Arquivos PNG acessados pouco antes da criação de novas DLLs, arquivos Python, tarefas agendadas ou entradas de inicialização no Registro.
• Valores novos ou modificados em HKCU ou HKLM sob ...\CurrentVersion\Run.
• Tarefas agendadas com nomes incomuns, execução recorrente, caminhos suspeitos, PowerShell, pythonw.exe ou client.py entre suas ações.
• pythonw.exe iniciado com o argumento client.py e conexões externas por TLS ou WebSockets para gitnow[.]dev.
• Atividades de descoberta do Active Directory e da rede partindo de uma estação que normalmente não realiza esse tipo de enumeração. 1

As equipes devem pesquisar gitnow[.]dev nos registros de DNS, proxy, firewall, EDR, TLS/SNI e WebSockets, além de bloquear a infraestrutura identificada. Para obter hashes, URLs, caminhos de arquivos, nomes de tarefas e orientações completas de detecção, a recomendação é consultar o alerta da Microsoft, já que nomes de arquivos e infraestrutura podem mudar. 1

O que fazer após uma possível execução

1. Isole o computador. Desconecte o dispositivo suspeito da rede, preservando, quando possível, memória, árvores de processos, registros do PowerShell, definições de tarefas agendadas, chaves de persistência, registros de DNS e proxy e telemetria do EDR.
2. Bloqueie e procure outros casos. Bloqueie os domínios e a infraestrutura de distribuição identificados em DNS, gateways web seguros, proxies, firewalls e controles de endpoint. Antes de reconectar sistemas, procure em todo o ambiente a mesma sequência de execução.
3. Proteja as identidades. Considere potencialmente expostas as credenciais usadas ou armazenadas no computador. Depois da contenção e da análise inicial, redefina as senhas relevantes e revogue sessões e tokens ativos, priorizando contas privilegiadas, de domínio, nuvem, VPN, navegador, serviço e API acessíveis a partir do dispositivo.
4. Investigue a atividade interna. Revise autenticações no Active Directory, acessos remotos, servidores de arquivos, VPNs e ferramentas administrativas associados ao computador e ao usuário.
5. Reinstale quando necessário. Faça a reimagem de sistemas comprovadamente comprometidos sempre que possível. Remover uma única DLL, tarefa agendada ou chave de inicialização pode não eliminar outras formas de persistência nem o acesso obtido por meio do túnel.

Controles que reduzem o risco

As organizações devem restringir o PowerShell e o Windows Terminal conforme a função de cada usuário e adotar controles de aplicação, como WDAC ou AppLocker, quando adequado. A política de execução do PowerShell, sozinha, não deve ser tratada como uma barreira de segurança. O princípio do menor privilégio e a remoção de direitos desnecessários de administrador local também reduzem o impacto de uma isca bem-sucedida.

O registro centralizado de scripts do PowerShell — incluindo o evento 4104, referente ao Script Block Logging —, combinado com registro de módulos, transcrição quando apropriado, AMSI, proteção contra adulteração, detecção de endpoint e logs de criação de processos, ajuda a reconstruir a cadeia de execução. Controles de navegador e web também devem observar redirecionamentos de sites comprometidos, injeção de scripts maliciosos, manipulação suspeita da área de transferência e infraestrutura conhecida de comando e controle. 1

Para os usuários, o treinamento precisa transmitir uma regra simples e fácil de lembrar: nunca cole comandos no Executar, no Prompt de Comando, no PowerShell ou no Windows Terminal porque um site, CAPTCHA, erro do navegador, anúncio ou página de suporte mandou fazer isso. Feche a página e denuncie a URL.

O TerminalFix mostra como componentes confiáveis podem participar de uma cadeia maliciosa. Um executável assinado, Python, TLS, WebSockets, imagens e um site legítimo podem parecer normais quando analisados isoladamente. A defesa eficaz depende, portanto, da correlação de comportamentos, do isolamento rápido dos endpoints e da proteção das identidades — não apenas do bloqueio de um nome de arquivo ou assinatura. 1