TerminalFix: как поддельная CAPTCHA открывает злоумышленникам обратный туннель

TerminalFix — отслеживаемая Microsoft разновидность техники ClickFix. Вместо обычной проверки «я не робот» пользователь видит опасную инструкцию: открыть Windows Terminal или PowerShell, вставить команду и выполнить её. 28 августа 2026 года Microsoft описала кампанию как многоэтапную атаку через взломанные сайты и поддельную CAPTCHA в стиле Cloudflare. 3

Речь идёт не просто о разовой загрузке вредоносной программы. Заявленный результат атаки — имплант обратного туннеля, который может предоставить оператору доступ к сети через заражённый компьютер как к прокси. Это потенциально открывает путь к внутренним системам и сервисам организации. 3 15

Как работает атака TerminalFix

1. Легитимный сайт становится точкой доставки

Злоумышленники взламывают обычные легитимные сайты и размещают поверх их содержимого поддельное окно CAPTCHA в стиле Cloudflare Turnstile. Посетителю предлагают подтвердить, что он человек, но вместо стандартного взаимодействия в браузере предлагают скопировать команду и вставить её в Windows Terminal или PowerShell. 3 29

Это ключевое отличие от многих прежних атак ClickFix. Ранее жертву часто направляли в диалог «Выполнить» Windows, который открывается сочетанием Win + R. TerminalFix использует Windows Terminal или PowerShell — так многострочному и более сложному скрипту проще выполниться без ошибок. 1 3

2. PowerShell загружает компоненты для DLL sideloading

Вставленная цепочка PowerShell скачивает ZIP-архив с двумя важными файлами:

• легитимно подписанным LockScreenContentServer.exe;
• вредоносной библиотекой dui70.dll.

После запуска подписанный исполняемый файл загружает контролируемую атакующими DLL по механизму DLL sideloading — подменной загрузки библиотеки из ожидаемого расположения. Наличие цифровой подписи у исполняемого файла может сделать цепочку менее подозрительной, чем запуск неизвестного бинарного файла напрямую.

В представленных материалах указаны имена файлов, но нет подтверждения точных хешей или того, что легитимный LockScreenContentServer.exe был изменён. 29

3. Следующие пейлоады скрываются в PNG

Поздние компоненты атаки прячутся внутри PNG-файлов с помощью стеганографии. Затем файлы считываются и расшифровываются локально. Такой подход позволяет получать дополнительный код, не представляя каждый этап как очевидную загрузку исполняемого файла. 10 29

4. Закрепление сопровождается разведкой

Описанная активность закрепляется в системе сразу двумя способами: через запись Run в реестре Windows и через запланированную задачу. Кроме того, вредоносная цепочка собирает сведения о компьютере и проводит разведку Active Directory перед запуском туннеля. Это повышает риск для всей инфраструктуры, а не только для первоначально заражённой рабочей станции. 4 29

Для защитников это важное различие. Если сотрудник выполнил команду из поддельной CAPTCHA, проблема может не ограничиваться одним заражённым ПК. Такой компьютер способен стать точкой сбора сведений и плацдармом для доступа к сети.

5. Python-имплант создаёт обратный туннель

Кампания устанавливает Python-компонент обратного туннеля и запускает его через pythonw.exe. Он связывается с gitnow[.]dev по TLS и WebSockets через TCP-порт 443, после чего ретранслирует TCP-трафик в стиле SOCKS5. На практике заражённый компьютер может выступать прокси между оператором и ресурсами, доступными из сети жертвы. 3 10

Поэтому описание Microsoft — «прокси-доступ на сетевом уровне» — существенно серьёзнее типичного предупреждения об инфостилере. Целью злоумышленников может быть не только сбор данных с первого заражённого устройства, но и достижение внутренних систем через него. 3 15

Какие признаки стоит искать

В предоставленных источниках нет полной таблицы IOC Microsoft, хешей, всех команд или точных названий механизмов persistence. Поэтому перечисленные ниже признаки следует использовать как направления для threat hunting, а не как замену оригинальным детектам Microsoft.

Сетевая активность

• DNS-запросы, прокси-соединения, обращения через межсетевой экран и TLS/WebSocket-подключения к gitnow[.]dev;
• необычная исходящая активность по TCP/443 с пользовательских рабочих станций;
• соединения, начавшиеся вскоре после подозрительной сессии в браузере или запуска PowerShell.

Процессы и файлы

• pythonw.exe, запущенный из неожиданного каталога;
• pythonw.exe, дочерний процесс PowerShell, Windows Terminal или LockScreenContentServer.exe;
• LockScreenContentServer.exe, расположенный рядом с dui70.dll;
• ZIP-архивы, загруженные в профиль пользователя или временные каталоги;
• PNG-файлы, которые считываются или декодируются PowerShell либо Python;
• скрипты Python, интерпретаторы или встроенные среды выполнения, запущенные из каталогов, доступных пользователю для записи.

Механизмы закрепления

• новые или незнакомые записи Run в реестре;
• запланированные задачи, запускающие PowerShell, Python, pythonw.exe или файлы из %AppData%, %LocalAppData%, %Temp%, Downloads и других похожих каталогов.

Поведение командной строки

• интерактивная активность PowerShell или Windows Terminal сразу после посещения сайта;
• цепочки «скачать — декодировать — выполнить»;
• закодированный или сильно обфусцированный PowerShell;
• команды, вставленные в терминал во время якобы CAPTCHA или другой проверки.

Что делать после возможного заражения

Сначала изолировать, затем сохранить доказательства

Отключите подозрительный компьютер от сети в соответствии с процедурой реагирования на инциденты, но не уничтожайте важные данные. Сохраните сведения с конечной точки, историю браузера, информацию о процессах и сетевую телеметрию. Проверять нужно не только устройство, но и учётную запись пользователя с его исходящими соединениями — это не обычная нежелательная загрузка.

Проверить внутренний доступ и боковое перемещение

Ищите перечисленные признаки на рабочих станциях, в DNS-, прокси-, межсетевых, идентификационных и системах удалённого доступа. Проверьте телеметрию Active Directory и контроллеров домена на разведку, подозрительные запросы сведений об учётных записях и группах, а также признаки бокового перемещения. Возможность обратного туннеля делает проверку внутренней доступности особенно важной. 4 29

Сменить потенциально раскрытые учётные данные

Сбросьте пароли и отзовите активные сессии или токены затронутых пользователей. В первую очередь проверьте привилегированные, сервисные и администраторские учётные записи, которыми пользовались на скомпрометированном компьютере, особенно если он имел доступ к чувствительным системам.

Ограничить рискованный запуск кода

По возможности ограничьте использование PowerShell и Windows Terminal утверждёнными группами администраторов и разработчиков. Применяйте принцип наименьших привилегий и контроль приложений; создайте оповещения о несанкционированных интерпретаторах Python и запуске программ из каталогов, доступных пользователю для записи.

Усилить сбор телеметрии

Включите журналирование блоков сценариев PowerShell (Script Block Logging), журналирование модулей и, где это уместно, транскрипцию команд. Убедитесь, что средства защиты конечных точек фиксируют создание процессов, изменения запланированных задач, persistence через реестр, DNS-запросы и исходящие TLS-соединения. Эти сигналы помогут связать первоначальную приманку в браузере с последующим запуском кода и сетевой активностью.

Заблокировать и отслеживать инфраструктуру

Заблокируйте gitnow[.]dev и проверьте исторические соединения с этим доменом. Одной блокировки домена недостаточно: её нужно сочетать с поведенческим мониторингом, поскольку инфраструктура злоумышленников может измениться.

Главный сигнал для пользователей

Настоящая CAPTCHA может попросить нажать флажок или выполнить действие непосредственно в браузере. Она не должна требовать открыть терминал, вставить неизвестную команду или запустить PowerShell. Именно такая инструкция — решающий признак социальной инженерии в TerminalFix. 1 3

Организациям стоит формулировать обучение максимально конкретно: никогда не копируйте и не выполняйте команду, предложенную веб-страницей ради прохождения CAPTCHA или «исправления» неполадки в браузере. Если такая команда уже была запущена, немедленно сообщите об инциденте и прекратите пользоваться устройством до его проверки.