TerminalFix nedir? Sahte CAPTCHA’lar Windows bilgisayarlarını ters tünel vekiline nasıl dönüştürüyor?

TerminalFix, Microsoft’un 28 Ağustos 2026’da belgelediği ve ClickFix tekniğinin bir varyantı olan bir sosyal mühendislik kampanyasıdır. Saldırganlar bir tarayıcı açığını kullanmak yerine kullanıcıyı kandırarak kötü amaçlı kodu kendi eliyle çalıştırmasını sağlar. Saldırının hedefi yalnızca Windows bilgisayara zararlı yazılım bulaştırmak değildir; enfekte cihaz, iç ağdaki servislere ulaşmak için kalıcı bir ters tünel geçidine dönüştürülebilir. 1

Sahte CAPTCHA saldırısı nasıl işliyor?

Süreç, saldırganların değiştirdiği ancak başlangıçta meşru görünen bir web sitesini ziyaret etmekle başlıyor. Sayfaya, Cloudflare Turnstile’a benzeyen sahte bir “insan olduğunuzu doğrulayın” penceresi ekleniyor. Ancak sonraki adım kritik: Kullanıcıdan bir içeriği kopyalaması ve bunu Windows Terminal’e ya da PowerShell’e yapıştırması isteniyor.

Bu talep başlı başına bir alarm işaretidir. CAPTCHA ve Turnstile doğrulamaları tarayıcı içinde gerçekleşir; kullanıcıdan komut satırı açmasını veya panodaki kodu çalıştırmasını istemez. TerminalFix, kullanıcının bu komutu kod olarak değil, doğrulama sürecinin bir parçası olarak görmesine güveniyor. 1

Kurbanları Windows Terminal ya da PowerShell’e yönlendirmek, klasik Çalıştır penceresi tuzaklarına kıyasla daha uzun ve çok satırlı komutların çalıştırılmasını da kolaylaştırıyor. 1

Çok aşamalı zararlı yazılım zinciri

Komut çalıştırıldıktan sonra saldırı, kötü amaçlı etkinliği güvenilir araçlar ve sıradan görünümlü dosyalar arasında gizlemek üzere birkaç katmandan ilerliyor:

1. Arşivin indirilmesi: PowerShell bir ZIP arşivini indiriyor ve bunu C:\ProgramData altında gizli görünmesi amaçlanan bir klasöre açıyor.
2. DLL yan yükleme: Arşivde Microsoft tarafından imzalanmış LockScreenContentServer.exe dosyasının yanında saldırganların kontrolündeki dui70.dll dosyaları bulunuyor. Yürütülebilir dosya ihtiyaç duyduğu kitaplığı kendi klasöründe ararken kötü amaçlı DLL’yi yüklüyor. Böylece imzalı dosyaya duyulan güven istismar ediliyor; DLL’nin kendisi meşru hâle gelmiyor.
3. Steganografi: İlerleyen bileşenler PNG görüntü verilerinin içine gizleniyor. Bu yöntem, temel dosya ve indirme kontrollerinde yükün fark edilmesini zorlaştırıyor.
4. Kalıcılık: Kayıt Defteri’ndeki Run girdileri ve zamanlanmış görevler, bileşenlerin oturum açıldığında veya belirli aralıklarla yeniden çalışmasını sağlıyor. 1

Bu yapı, savunma ekipleri açısından önemli bir ders içeriyor: Tek bir dosya adını engellemek yeterli olmayabilir. PowerShell çalıştırılması, arşiv açılması, alışılmadık dosya konumları, DLL yüklenmesi, görüntü dosyalarına erişim ve kalıcılık mekanizmaları uç nokta telemetrisi genelinde birlikte değerlendirilmelidir.

Zararlı yazılım hangi bilgileri arıyor?

Microsoft’un analizine göre kötü amaçlı yazılım sistem, kullanıcı, işlem, servis, ağ ve güvenlik bağlamı hakkında keşif yapıyor. Ayrıca Active Directory üzerinde keşif gerçekleştirerek etki alanı ortamını, devam eden erişim için değerli olabilecek sistemleri ve hesapları belirlemeye çalışıyor. 1

Bu nedenle sıradan bir iş istasyonundan gelen şüpheli dizin hizmeti sorguları, TerminalFix’in çalıştırılma zinciriyle birlikte görüldüğünde incelenmelidir. Etki alanı denetleyicilerinin, kullanıcıların, grupların, güven ilişkilerinin, paylaşımların, uzak sistemlerin veya ayrıcalıklı hesapların listelenmesi dikkat gerektiren etkinlikler arasında yer alır.

Ters tünel riski neden daha büyük?

Kampanyanın en önemli bileşeni, pythonw.exe ile başlatılan Python tabanlı client.py implantıdır. pythonw.exe normal bir konsol penceresi göstermediği için süreç, geleneksel bir komut satırı uygulamasına kıyasla kullanıcı tarafından daha zor fark edilebilir. 1

İstemci, TLS ve WebSocket kullanarak gitnow[.]dev ile dışarıya doğru iletişim kuruyor. Saldırgan, kurban makinenin belirli bir iç adrese ve porta bağlanmasını isteyebiliyor; oluşan TCP trafiği de şifreli WebSocket bağlantısı üzerinden SOCKS5 benzeri bir modelle aktarılıyor. 1

Pratikte bu, enfekte bilgisayarın dışarıdan kontrol edilen bir ağ vekiline dönüşmesi anlamına geliyor. Ters tünel, iç ağdaki her sisteme otomatik erişim sağlamaz; erişilebilirlik ve yetkiler hâlâ belirleyicidir. Ancak doğrudan internetten erişilemeyen servisleri saldırgana açabileceği için olay, yalnızca tek bir bilgisayardaki zararlı yazılım vakası olmaktan çıkar ve iç ağ erişimi sorununa dönüşür.

Tespit ve tehdit avcılığı için öncelikler

Aşağıdaki göstergelerden tek birine dayanmak yerine, birden fazla sinyalin birlikte görülmesine odaklanın:

• Tarayıcı oturumunun hemen ardından, özellikle CAPTCHA veya “doğrulama” isteminden sonra Windows Terminal ya da PowerShell çalıştırılması.
• Panodan alınan içeriği indiren, çözen, arşivden çıkaran veya çalıştıran PowerShell komutları.
• Gizli pencerede çalışan PowerShell ile ProgramData altında alışılmadık konumlara arşiv veya yürütülebilir dosya yazılması.
• Beklenen Windows klasörü dışında çalışan LockScreenContentServer.exe; özellikle alışılmadık veya kullanıcı tarafından yazılabilir bir konumda dui70.dll ile aynı klasörde bulunması.
• Yeni DLL’ler, Python dosyaları, zamanlanmış görevler veya Run anahtarları ortaya çıkmadan kısa süre önce PNG dosyalarına erişilmesi.
• HKCU veya HKLM altında ...\CurrentVersion\Run değerlerinin eklenmesi ya da değiştirilmesi.
• Alışılmadık adlara sahip, tekrarlayan şekilde çalışan veya eyleminde PowerShell, pythonw.exe ya da client.py bulunan zamanlanmış görevler.
• client.py argümanıyla başlatılan pythonw.exe ve gitnow[.]dev adresine TLS ya da WebSocket trafiği.
• Normalde bu tür taramalar yapmayan bir iş istasyonundan Active Directory ve ağ keşfi gerçekleştirilmesi. 1

gitnow[.]dev için DNS, proxy, güvenlik duvarı, EDR, TLS/SNI ve WebSocket kayıtlarında arama yapın. Kampanyaya ait tüm özet değerler, URL’ler, dosya yolları, görev adları ve tespit önerileri için Microsoft’un duyurusu kullanılmalıdır; dosya adları ve altyapı zamanla değişebilir. 1

Çalıştırıldığından şüpheleniliyorsa ne yapılmalı?

1. Uç noktayı izole edin. Şüpheli bilgisayarın ağ bağlantısını kesin. Olay müdahalesi için belleği, işlem ağaçlarını, PowerShell günlüklerini, zamanlanmış görev tanımlarını, kalıcılık anahtarlarını, DNS ve proxy kayıtlarını ve EDR telemetrisi verilerini koruyun.
2. Engelleyin ve kapsamı belirleyin. Bilinen alan adlarını ve dağıtım altyapısını DNS, güvenli web geçidi, proxy, güvenlik duvarı ve uç nokta kontrolleri üzerinden engelleyin. Sistemleri yeniden bağlamadan önce aynı çalıştırma zincirini tüm ortamda arayın.
3. Kimlik bilgilerini koruyun. Bilgisayarda kullanılan veya saklanan kimlik bilgilerini açığa çıkmış kabul edin. Kontrol ve ilk kapsam belirleme işlemlerinden sonra ilgili parolaları değiştirin, etkin oturumları ve belirteçleri iptal edin. Ayrıcalıklı, etki alanı, bulut, VPN, tarayıcı, servis ve API hesaplarına öncelik verin.
4. İç ağ etkinliğini inceleyin. Uç nokta ve kullanıcısıyla ilişkili Active Directory kimlik doğrulamalarını, uzaktan erişimi, dosya sunucusu bağlantılarını, VPN kullanımını ve yönetim araçlarını gözden geçirin.
5. Gerektiğinde sistemi yeniden kurun. Doğrulanmış şekilde ele geçirilmiş sistemleri mümkünse yeniden imajlayın. Tek bir DLL’yi, zamanlanmış görevi veya Run anahtarını silmek, ek kalıcılık mekanizmalarını ya da ters tünel üzerinden sağlanmış erişimi ortadan kaldırmayabilir.

Kurumlar nasıl korunabilir?

Kuruluşlar, PowerShell ve Windows Terminal kullanımını görev gereksinimlerine göre sınırlandırmalı; uygun durumlarda WDAC veya AppLocker gibi uygulama denetimlerini kullanmalıdır. Yalnızca yürütme politikasına güvenilmemelidir; bu politika tek başına bir güvenlik sınırı değildir. En az ayrıcalık ilkesi ve gereksiz yerel yönetici haklarının kaldırılması, başarılı bir sosyal mühendislik saldırısının etkisini azaltır.

PowerShell Script Block Logging, özellikle 4104 Olay Kimliği, merkezi olarak toplanmalıdır. Uygun durumlarda modül günlükleme ve transkripsiyon; AMSI, uç nokta tespit ve müdahale araçları, kurcalamaya karşı koruma ve süreç oluşturma günlükleriyle birlikte kullanılmalıdır. Tarayıcı ve web güvenliği kontrolleri de ele geçirilmiş site yönlendirmelerini, kötü amaçlı betik enjeksiyonlarını, şüpheli pano işlemlerini ve bilinen komuta-kontrol altyapısını izlemelidir. 1

Kullanıcı eğitimi tek ve akılda kalıcı bir kurala dayanabilir: Bir web sitesi, CAPTCHA, tarayıcı hatası, reklam veya destek sayfası istese bile Çalıştır’a, Komut İstemi’ne, PowerShell’e ya da Windows Terminal’e komut yapıştırmayın. Sayfayı kapatın ve URL’yi güvenlik ekibine bildirin.

TerminalFix’in temel dersi şu: İmzalı bir Windows dosyası, Python, TLS, WebSocket, görüntü dosyaları ve meşru bir web sitesi tek tek bakıldığında sıradan görünebilir. Etkili savunma bu nedenle yalnızca tek bir dosya adını veya imzayı engellemeye değil; davranışları ilişkilendirmeye, uç noktaları hızla izole etmeye ve kimlik bilgilerini korumaya dayanır. 1