Microsoft varnar för TerminalFix: falska captcha-tester öppnar bakdörr till nätverket

TerminalFix är en Microsoft-spårad ClickFix-kampanj som byter ut en vanlig säkerhetskontroll mot en farlig instruktion: öppna Windows Terminal eller PowerShell, klistra in ett kommando och kör det. Microsoft beskrev aktiviteten den 28 augusti 2026 som en variant som använder kapade webbplatser och falsk Cloudflare-captcha för att genomföra ett angrepp i flera steg. 3

Det handlar alltså om mer än en engångsnedladdning av skadlig kod. Det rapporterade slutmålet är ett implantat för en omvänd tunnel, som kan ge angriparen proxyåtkomst på nätverksnivå via den komprometterade Windows-datorn. Det kan i sin tur skapa en väg mot interna system och tjänster. 3 15

Så fungerar TerminalFix-angreppet

1. En legitim webbplats blir spridningskanal

Angriparna tar över annars legitima webbplatser och lägger ett falskt Cloudflare Turnstile-liknande captcha-fönster ovanpå sidan. Fällan ser ut som en vanlig kontroll för att bekräfta att besökaren är människa, men instruerar användaren att kopiera och klistra in ett kommando i Windows Terminal eller PowerShell. 3 29

Detta är kampanjens centrala förändring. Traditionella ClickFix-angrepp hänvisar ofta offret till dialogrutan Kör i Windows. TerminalFix använder i stället Windows Terminal eller PowerShell, vilket gör det lättare att köra mer avancerade skript över flera rader. 1 3

2. PowerShell hämtar komponenter för DLL-sideloading

PowerShell-kedjan som användaren klistrar in laddar ner ett ZIP-arkiv med två viktiga filer:

• den legitimt signerade LockScreenContentServer.exe
• den skadliga dui70.dll

När den signerade körbara filen startas läser den in den angriparkontrollerade DLL-filen genom så kallad DLL-sideloading. En signerad fil kan få kedjan att se mindre misstänkt ut än en okänd binärfil som startas direkt. Den rapportering som ligger till grund för uppgifterna anger filnamnen, men fastställer inte exakta hashvärden eller att den legitima körbara filen har ändrats. 29

3. PNG-bilder döljer nästa steg

Kampanjen gömmer senare komponenter i PNG-filer med hjälp av steganografi – alltså att data bäddas in i en till synes vanlig bild. Filerna läses sedan och avkodas lokalt, så att nya delar av angreppet kan hämtas utan att varje steg presenteras som en uppenbar körbar nedladdning. 10 29

4. Beständighet och kartläggning följer

Den rapporterade aktiviteten skapar beständighet på två sätt: genom en Run-post i Windows-registret och genom en schemalagd aktivitet. Den kartlägger också datorn och Active Directory innan tunneln installeras. Det innebär en större risk än en infektion som stannar på den första datorn. 4 29

Kombinationen är viktig för säkerhetsteam. En användare som följt captcha-instruktionen kan ha mer än en isolerad arbetsstationsinfektion att hantera. Datorn kan bli en plattform för kartläggning och åtkomst till nätverket.

5. Ett Python-implantat skapar den omvända tunneln

Kampanjen installerar en Python-baserad komponent för omvänd tunnling genom pythonw.exe. Den kommunicerar med gitnow[.]dev via TLS och WebSockets på TCP-port 443 och vidarebefordrar TCP-trafik av SOCKS5-typ. I praktiken kan den infekterade datorn fungera som en proxy mellan angriparen och resurser som är åtkomliga från offrets nätverk. 3 10

Det är därför Microsofts beskrivning av implantatet som nätverksproxy är mer allvarlig än en vanlig varning om informationsstöld. Angriparens mål kan vara åtkomst till interna nätverk, inte bara insamling av data från den första datorn. 3 15

Indikatorer att undersöka

De tillgängliga källorna innehåller inte en komplett IOC-tabell från Microsoft, hashvärden eller namnen på alla kommandon och beständighetsmekanismer. Punkterna nedan bör därför ses som jaktspår för säkerhetsteam – inte som en ersättning för Microsofts ursprungliga detektioner.

Nätverksaktivitet

• DNS-, proxy-, brandväggs- och TLS- eller WebSocket-anslutningar till gitnow[.]dev
• Ovanlig utgående TCP/443-trafik från användardatorer
• Anslutningar som startade kort efter en misstänkt webbläsarsession eller PowerShell-körning

Processer och filer

• pythonw.exe som körs från en oväntad katalog
• pythonw.exe som startats av PowerShell, Windows Terminal eller LockScreenContentServer.exe
• LockScreenContentServer.exe som ligger tillsammans med dui70.dll
• ZIP-arkiv som laddats ner till användarprofilen eller temporära kataloger
• PNG-filer som läses eller avkodas av PowerShell eller Python
• Python-skript, tolkar eller inbäddade körmiljöer som startas från kataloger där användaren kan skriva

Beständighet

• Nya eller okända Run-poster i Windows-registret
• Schemalagda aktiviteter som startar PowerShell, Python, pythonw.exe eller filer från %AppData%, %LocalAppData%, %Temp%, Downloads eller liknande platser

Kommandoradsbeteende

• Interaktiv aktivitet i PowerShell eller Windows Terminal direkt efter ett webbläsarbesök
• Kedjor som laddar ner, avkodar och kör kod
• Kodade eller kraftigt fördunklade PowerShell-kommandon
• Kommandon som klistras in i en terminal under ett påstått captcha- eller verifieringssteg

Vad försvarare bör göra vid misstänkt exponering

Isolera först – bevara sedan bevis

Koppla bort den misstänkta datorn från nätverket enligt organisationens incidenthanteringsprocess, samtidigt som relevant information från dator, webbläsare, processer och nätverk bevaras. Undersök datorn, användarkontot och de utgående anslutningarna. Hantera inte händelsen som en vanlig oönskad nedladdning.

Undersök möjlig intern åtkomst

Sök efter indikatorerna ovan i klienter, DNS-, proxy-, brandväggs-, identitets- och fjärråtkomstloggar. Granska telemetri från Active Directory och domänkontrollanter efter kartläggning, misstänkta frågor om konton eller grupper och tecken på sidledsförflyttning. Den omvända tunneln gör det särskilt viktigt att utreda vilken intern åtkomst datorn kan ha gett. 4 29

Byt potentiellt exponerade autentiseringsuppgifter

Återställ lösenord och återkalla aktiva sessioner eller token för berörda användare. Prioritera privilegierade konton, tjänstekonton och administratörskonton som har använts på den komprometterade datorn – särskilt om datorn kunde nå känsliga system.

Begränsa riskfyllda körvägar

Begränsa åtkomsten till PowerShell och Windows Terminal till godkända administratörs- eller utvecklargrupper där det är möjligt. Använd principen om minsta privilegium och applikationskontroll, och larma vid användning av otillåtna Python-tolkar eller körning från kataloger där användaren kan skriva.

Förbättra loggningen

Aktivera vid behov loggning av PowerShell Script Block, moduler och transkribering. Se till att endpoint-övervakningen omfattar processkapande, ändringar av schemalagda aktiviteter, beständighet i registret, DNS-förfrågningar och utgående TLS-anslutningar. Signalerna kan hjälpa till att koppla ihop den ursprungliga webbläsarfällan med senare körning och nätverksaktivitet.

Blockera och bevaka den rapporterade infrastrukturen

Blockera gitnow[.]dev och undersök historiska anslutningar till domänen. Domänblockering bör kombineras med beteendebaserad övervakning och inte användas som enda åtgärd, eftersom angripare kan byta infrastruktur.

Den viktigaste varningen till användare

En legitim captcha kan be dig klicka i en ruta eller genomföra en interaktion i webbläsaren. Den ska inte be dig öppna en terminal, klistra in ett okänt kommando eller köra PowerShell. Just den instruktionen är den tydligaste socialtekniska varningssignalen i TerminalFix. 1 3

För organisationer blir användarutbildningen mest effektiv när den beskriver exakt vilket beteende som ska undvikas: kopiera och kör aldrig ett kommando som en webbsida visar, bara för att klara en captcha eller ”åtgärda” ett webbläsarproblem. Om någon redan har följt instruktionen bör personen omedelbart rapportera händelsen och sluta använda datorn tills den har undersökts.