คำตอบเผยแพร่แล้ว11 แหล่งที่มา
TerminalFix: จาก CAPTCHA ปลอม สู่พีซี Windows ที่กลายเป็นพร็อกซีเจาะเครือข่าย
Microsoft รายงาน TerminalFix เมื่อวันที่ 28 สิงหาคม 2026 ในฐานะแคมเปญสายพันธุ์หนึ่งของ ClickFix ที่ใช้ CAPTCHA Cloudflare ปลอมหลอกผู้ใช้ Windows ให้รัน PowerShell อันตราย การโจมตีเชื่อมต่อหลายเทคนิคเข้าด้วยกัน ทั้ง ZIP ที่ซ่อนในโฟลเดอร์ ProgramData, DLL sideloading ผ่าน LockScreenContentServer.exe ที่มีลายเซ็น Micro...
เผยแพร่โดยแก้ไขด้วย GPT-5.6 Lunaรูปภาพสร้างด้วย GPT Image 1.5
คำตอบการวิจัย
ประเด็นสำคัญ
- Microsoft รายงาน TerminalFix เมื่อวันที่ 28 สิงหาคม 2026 ในฐานะแคมเปญสายพันธุ์หนึ่งของ ClickFix ที่ใช้ CAPTCHA Cloudflare ปลอมหลอกผู้ใช้ Windows ให้รัน PowerShell อันตราย
- การโจมตีเชื่อมต่อหลายเทคนิคเข้าด้วยกัน ทั้ง ZIP ที่ซ่อนในโฟลเดอร์ ProgramData, DLL sideloading ผ่าน LockScreenContentServer.exe ที่มีลายเซ็น Microsoft, payload ในภาพ PNG, Registry และ Scheduled Task
- กฎสำคัญที่ผู้ใช้ควรจำคือ CAPTCHA จริงจะไม่ขอให้เปิด PowerShell หรือ Windows Terminal แล้ววางคำสั่งจากคลิปบอร์ด
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What is Microsoft’s TerminalFix social-engineering campaign, how do attackers use compromised legitimate websites and fake Cloudflare Turnst. Article summary: TerminalFix is a ClickFix-style campaign in which attackers turn a user’s manual “verification” action into execution of a malicious PowerShell command. Its objective is not merely initial malware delivery: it establishe. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
TerminalFix คือแคมเปญวิศวกรรมสังคมที่ Microsoft ระบุเมื่อวันที่ 28 สิงหาคม 2026 และเป็นรูปแบบหนึ่งของเทคนิค ClickFix แทนที่จะอาศัยช่องโหว่ของเบราว์เซอร์ ผู้โจมตีกลับใช้วิธีหลอกให้ผู้ใช้รันโค้ดด้วยตนเอง
จุดเริ่มต้นคือเว็บไซต์จริงที่ถูกยึดหรือแก้ไขเนื้อหา แต่ผลลัพธ์อาจรุนแรงกว่าการติดมัลแวร์บนคอมพิวเตอร์เพียงเครื่องเดียว เพราะแคมเปญสามารถติดตั้ง reverse tunnel ซึ่งเปิดทางให้ผู้โจมตีใช้เครื่อง Windows ที่ติดเชื้อเป็นเส้นทางเข้าสู่บริการภายในที่เครื่องนั้นเข้าถึงได้ 1
CAPTCHA ปลอมหลอกผู้ใช้ได้อย่างไร
เหยื่อเข้าเว็บไซต์ที่ถูกโจมตี จากนั้นหน้าเว็บจะแสดงหน้าต่างเลียนแบบ Cloudflare Turnstile พร้อมข้อความให้ “ยืนยันว่าเป็นมนุษย์” หน้าตาดังกล่าวอาจดูคุ้นเคย แต่ขั้นตอนถัดไปคือสัญญาณอันตราย: เว็บไซต์ขอให้ผู้ใช้คัดลอกข้อความแล้วนำไปวางใน Windows Terminal หรือ PowerShell
CAPTCHA หรือ Turnstile จริงเป็นการโต้ตอบในเบราว์เซอร์ ไม่จำเป็นต้องเปิดหน้าต่างคำสั่งหรือรันข้อความจากคลิปบอร์ด TerminalFix อาศัยการทำให้ผู้ใช้เข้าใจว่าคำสั่งดังกล่าวเป็นส่วนหนึ่งของการยืนยันตัวตน ทั้งที่จริงแล้วคือโค้ดของผู้โจมตี 1
การชี้นำให้ใช้ Windows Terminal หรือ PowerShell ยังช่วยให้ผู้โจมตีส่งคำสั่งหลายบรรทัดที่ซับซ้อนได้ง่ายกว่าการหลอกให้พิมพ์คำสั่งในหน้าต่าง Run แบบที่พบใน ClickFix รุ่นก่อน 1
ห่วงโซ่การติดเชื้อหลายขั้น
หลังจากผู้ใช้รันคำสั่งแล้ว การโจมตีจะดำเนินต่อเป็นลำดับ โดยพยายามผสมกิจกรรมอันตรายเข้ากับเครื่องมือและไฟล์ที่ดูน่าเชื่อถือ:
- ดาวน์โหลดไฟล์บีบอัด: PowerShell ดาวน์โหลดและแตกไฟล์ ZIP ลงในไดเรกทอรีที่ดูซ่อนเร้นภายใต้
C:\ProgramData - DLL sideloading: ในไฟล์ ZIP มี
LockScreenContentServer.exeซึ่งเป็นไฟล์ที่มีลายเซ็น Microsoft วางคู่กับไฟล์dui70.dllที่ผู้โจมตีควบคุม เมื่อโปรแกรมค้นหาไลบรารีที่จำเป็นในโฟลเดอร์เดียวกัน จึงโหลด DLL อันตรายแทน ไฟล์ DLL ดังกล่าวไม่ได้กลายเป็นไฟล์ที่ถูกต้องเพียงเพราะใช้โปรแกรมที่มีลายเซ็นดิจิทัลเป็นตัวเรียก - ซ่อน payload ในภาพ: ส่วนประกอบระยะถัดไปถูกซ่อนไว้ในข้อมูลของไฟล์ภาพ PNG ด้วย steganography ทำให้ตรวจพบได้ยากขึ้นจากการตรวจสอบไฟล์หรือการดาวน์โหลดแบบพื้นฐาน
- สร้างความคงอยู่ในระบบ: รายการ Run ใน Registry และ Scheduled Task ช่วยให้ส่วนประกอบของมัลแวร์เปิดทำงานอีกครั้งหลังผู้ใช้ล็อกอิน หรือทำงานตามช่วงเวลาที่กำหนด
1
สำหรับทีมรักษาความปลอดภัย การบล็อกเพียงชื่อไฟล์เดียวจึงอาจไม่เพียงพอ ควรเชื่อมโยงพฤติกรรมหลายประเภทเข้าด้วยกัน เช่น การรัน PowerShell การแตกไฟล์ การเขียนไฟล์ไว้ในตำแหน่งผิดปกติ การโหลด DLL การเข้าถึงรูปภาพ และการสร้างกลไกเริ่มทำงานอัตโนมัติ
มัลแวร์ค้นหาอะไรในเครื่องและโดเมน
จากการวิเคราะห์ของ Microsoft มัลแวร์จะสำรวจข้อมูลของเครื่อง ผู้ใช้ กระบวนการทำงาน บริการ เครือข่าย และบริบทด้านความปลอดภัย นอกจากนี้ยังทำ reconnaissance ใน Active Directory เพื่อทำความเข้าใจสภาพแวดล้อมของโดเมน รวมถึงค้นหาระบบหรือบัญชีที่อาจมีคุณค่าสำหรับการโจมตีระยะต่อไป 1
ทีมความปลอดภัยควรให้ความสนใจกับคำสั่งหรือคำขอไปยังบริการไดเรกทอรีที่น่าสงสัยจากเวิร์กสเตชันทั่วไป โดยเฉพาะเมื่อเกิดขึ้นพร้อมกับห่วงโซ่การทำงานของ TerminalFix ตัวอย่างกิจกรรมที่ควรตรวจสอบ ได้แก่ การค้นหา domain controller, ผู้ใช้, กลุ่ม, trust, shared folder, ระบบระยะไกล หรือบัญชีที่มีสิทธิ์สูง
Reverse tunnel ทำให้ความเสี่ยงเปลี่ยนไปอย่างไร
ส่วนที่น่ากังวลที่สุดคือ implant ชื่อ client.py ซึ่งทำงานผ่าน pythonw.exe การใช้ pythonw.exe ทำให้กระบวนการทำงานโดยไม่แสดงหน้าต่างคอนโซลตามปกติ ผู้ใช้จึงอาจสังเกตเห็นได้ยากกว่าโปรแกรมบรรทัดคำสั่งทั่วไป 1
ไคลเอนต์ดังกล่าวสื่อสารขาออกผ่าน TLS และ WebSockets ไปยัง gitnow[.]dev จากนั้นสามารถรับคำสั่งให้เชื่อมต่อจากเครื่องของเหยื่อไปยังที่อยู่และพอร์ตภายใน แล้วส่งต่อทราฟฟิก TCP กลับผ่าน WebSocket ที่เข้ารหัส ในลักษณะคล้าย SOCKS5 1
ในทางปฏิบัติ เครื่องที่ติดเชื้อจึงอาจถูกเปลี่ยนให้เป็นพร็อกซีเครือข่ายที่ผู้โจมตีควบคุมจากภายนอกได้ อย่างไรก็ตาม reverse tunnel ไม่ได้หมายความว่าผู้โจมตีจะเข้าถึงระบบภายในทุกเครื่องโดยอัตโนมัติ การเข้าถึงยังขึ้นอยู่กับเส้นทางเครือข่ายและสิทธิ์ของเครื่องที่ถูกยึด แต่ความเสี่ยงได้เปลี่ยนจาก “มัลแวร์บนพีซีหนึ่งเครื่อง” เป็นปัญหาการเปิดทางเข้าสู่บริการภายในที่ไม่ควรเข้าถึงได้จากอินเทอร์เน็ตโดยตรง
สัญญาณที่ควรตรวจจับและไล่ล่า
ควรพิจารณาสัญญาณหลายรายการร่วมกัน ไม่ควรใช้ตัวบ่งชี้ใดตัวหนึ่งเป็นหลักฐานยืนยันเพียงลำพัง:
- เบราว์เซอร์เปิด Windows Terminal หรือ PowerShell ทันทีหลังพบหน้า CAPTCHA หรือหน้าต่าง “ยืนยันตัวตน”
- PowerShell ดาวน์โหลด ถอดรหัส แตกไฟล์ หรือรันเนื้อหาที่มาจากคลิปบอร์ด
- PowerShell ทำงานแบบซ่อนหน้าต่าง หรือมีการเขียนไฟล์ ZIP และไฟล์ปฏิบัติการลงในตำแหน่ง
ProgramDataที่ผิดปกติ LockScreenContentServer.exeทำงานนอกโฟลเดอร์ Windows ที่ควรอยู่ โดยเฉพาะเมื่ออยู่คู่กับdui70.dllในโฟลเดอร์แปลกหรือโฟลเดอร์ที่ผู้ใช้เขียนไฟล์ได้- มีการเข้าถึงไฟล์ PNG ก่อนที่ DLL, ไฟล์ Python, Scheduled Task หรือรายการ Run ใหม่จะปรากฏไม่นาน
- มีการสร้างหรือแก้ไขค่า
HKCUหรือHKLMในเส้นทาง...\CurrentVersion\Run - Scheduled Task ชื่อผิดปกติ ทำงานซ้ำเป็นช่วง ๆ หรือมี action ที่เรียก PowerShell,
pythonw.exeหรือclient.pyจากเส้นทางน่าสงสัย pythonw.exeถูกเรียกพร้อมอาร์กิวเมนต์client.pyและมีทราฟฟิก TLS หรือ WebSocket ขาออกไปยังgitnow[.]dev- เวิร์กสเตชันทั่วไปเริ่มทำการค้นหา Active Directory หรือสำรวจระบบเครือข่าย ทั้งที่ปกติไม่ได้ทำกิจกรรมดังกล่าว
ควรค้นหา gitnow[.]dev ในบันทึก DNS, พร็อกซี, ไฟร์วอลล์, EDR, TLS/SNI และ WebSocket ด้วย นอกจากนี้ควรอ้างอิงคำแนะนำของ Microsoft สำหรับค่าแฮช URL พาธไฟล์ ชื่องาน และแนวทางตรวจจับทั้งหมดของแคมเปญ เนื่องจากชื่อไฟล์และโครงสร้างพื้นฐานของผู้โจมตีอาจเปลี่ยนแปลงได้ 1
หากสงสัยว่ามีการรันคำสั่งไปแล้ว
- แยกเครื่องออกจากเครือข่าย ตัดการเชื่อมต่อของอุปกรณ์ที่สงสัยทันที พร้อมเก็บข้อมูลหน่วยความจำ ต้นไม้กระบวนการ บันทึก PowerShell รายละเอียด Scheduled Task คีย์ที่ใช้สร้างความคงอยู่ บันทึก DNS และพร็อกซี รวมถึงข้อมูลจาก EDR
- บล็อกและตรวจสอบขอบเขต บล็อกโดเมนและโครงสร้างพื้นฐานที่พบใน DNS, secure web gateway, พร็อกซี, ไฟร์วอลล์ และระบบควบคุมปลายทาง จากนั้นค้นหาเครื่องอื่นที่มีห่วงโซ่การทำงานแบบเดียวกันก่อนนำเครื่องใดกลับมาเชื่อมต่อ
- ปกป้องบัญชีผู้ใช้ ให้ถือว่าข้อมูลรับรองที่ถูกใช้หรือเก็บไว้ในเครื่องอาจรั่วไหล หลังควบคุมเหตุการณ์และประเมินขอบเขตเบื้องต้นแล้ว ให้เปลี่ยนรหัสผ่านและเพิกถอนเซสชันหรือโทเคนที่ยังใช้งานอยู่ โดยให้ความสำคัญกับบัญชีผู้ดูแล ระบบโดเมน คลาวด์ VPN เบราว์เซอร์ บริการ และ API ที่เครื่องดังกล่าวเข้าถึงได้
- ตรวจสอบกิจกรรมภายใน ทบทวนการยืนยันตัวตนใน Active Directory การเข้าถึงจากระยะไกล เซิร์ฟเวอร์ไฟล์ VPN และเครื่องมือดูแลระบบที่เกี่ยวข้องกับเครื่องและบัญชีผู้ใช้
- ติดตั้งระบบใหม่เมื่อเหมาะสม หากยืนยันว่าถูกเจาะระบบ ควรพิจารณา reimage หรือติดตั้งเครื่องใหม่ การลบ DLL, Scheduled Task หรือ Run key เพียงรายการเดียวอาจไม่กำจัดกลไกคงอยู่หรือการเข้าถึงอื่นที่ผู้โจมตีสร้างไว้ผ่าน tunnel ได้ทั้งหมด
แนวทางลดโอกาสถูกหลอก
องค์กรควรจำกัดการใช้ PowerShell และ Windows Terminal ตามบทบาทงาน ใช้ application control เช่น WDAC หรือ AppLocker เมื่อเหมาะสม และไม่ควรพึ่ง execution policy เพียงอย่างเดียว เพราะไม่ใช่ขอบเขตความปลอดภัยที่แข็งแรง การใช้สิทธิ์เท่าที่จำเป็นและยกเลิกสิทธิ์ local administrator ที่ไม่จำเป็นยังช่วยลดผลกระทบหากผู้ใช้ถูกหลอกสำเร็จ
ควรเปิดและรวบรวม PowerShell Script Block Logging จากส่วนกลาง รวมถึง Event ID 4104 ตลอดจน module logging และ transcription ตามความเหมาะสม ควรใช้ร่วมกับ AMSI, EDR, tamper protection และการบันทึกการสร้างกระบวนการเพื่อช่วยปะติดปะต่อห่วงโซ่การโจมตี เบราว์เซอร์และระบบควบคุมเว็บก็ควรเฝ้าระวังการเปลี่ยนเส้นทางจากเว็บไซต์ที่ถูกยึด การแทรก JavaScript การแก้ไขคลิปบอร์ดที่น่าสงสัย และโครงสร้างพื้นฐาน command-and-control ที่รู้จัก 1
สำหรับผู้ใช้ทั่วไป ให้จำกฎง่าย ๆ ข้อนี้ไว้: อย่าวางคำสั่งลงใน Run, Command Prompt, PowerShell หรือ Windows Terminal เพียงเพราะเว็บไซต์ CAPTCHA ข้อผิดพลาดบนเบราว์เซอร์ โฆษณา หรือหน้าสนับสนุนบอกให้ทำ หากหน้าเว็บขอขั้นตอนดังกล่าว ให้ปิดหน้าเว็บและรายงาน URL แทน
TerminalFix แสดงให้เห็นว่าเครื่องมือที่ดูน่าเชื่อถือสามารถถูกนำมาต่อกันเป็นห่วงโซ่อันตรายได้ ทั้งโปรแกรมที่มีลายเซ็นดิจิทัล Python, TLS, WebSockets, ไฟล์รูปภาพ และเว็บไซต์จริงอาจดูปกติเมื่อพิจารณาแยกกัน การป้องกันที่มีประสิทธิภาพจึงต้องอาศัยการเชื่อมโยงพฤติกรรม การแยกเครื่องอย่างรวดเร็ว และการปกป้องบัญชีผู้ใช้ ไม่ใช่เพียงการบล็อกชื่อไฟล์หรือลายเซ็นเดียว 1
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "TerminalFix: จาก CAPTCHA ปลอม สู่พีซี Windows ที่กลายเป็นพร็อกซีเจาะเครือข่าย" คืออะไร
Microsoft รายงาน TerminalFix เมื่อวันที่ 28 สิงหาคม 2026 ในฐานะแคมเปญสายพันธุ์หนึ่งของ ClickFix ที่ใช้ CAPTCHA Cloudflare ปลอมหลอกผู้ใช้ Windows ให้รัน PowerShell อันตราย
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
Microsoft รายงาน TerminalFix เมื่อวันที่ 28 สิงหาคม 2026 ในฐานะแคมเปญสายพันธุ์หนึ่งของ ClickFix ที่ใช้ CAPTCHA Cloudflare ปลอมหลอกผู้ใช้ Windows ให้รัน PowerShell อันตราย การโจมตีเชื่อมต่อหลายเทคนิคเข้าด้วยกัน ทั้ง ZIP ที่ซ่อนในโฟลเดอร์ ProgramData, DLL sideloading ผ่าน LockScreenContentServer.exe ที่มีลายเซ็น Microsoft, payload ในภาพ PNG, Registry และ Scheduled Task
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?
กฎสำคัญที่ผู้ใช้ควรจำคือ CAPTCHA จริงจะไม่ขอให้เปิด PowerShell หรือ Windows Terminal แล้ววางคำสั่งจากคลิปบอร์ด