TerminalFix: фальшиві CAPTCHA Microsoft використовують для запуску зворотного тунелю

TerminalFix — це кампанія, яку Microsoft відстежує як варіант соціотехнічної техніки ClickFix. Замість звичайної перевірки «я не робот» користувачу пропонують відкрити Windows Terminal або PowerShell, вставити готову команду й запустити її. 28 серпня 2026 року Microsoft описала цю схему як багатоступеневу атаку через зламані сайти та підроблену перевірку Cloudflare CAPTCHA. 3

Наслідки можуть бути значно серйознішими за одноразове завантаження шкідливої програми. У фіналі ланцюжка встановлюється імплант зі зворотним тунелем, здатний надавати оператору мережевий проксі-доступ через заражений комп’ютер. Потенційно це створює шлях до внутрішніх систем і сервісів організації. 3 15

Як працює атака TerminalFix

1. Зламаний сайт показує фальшиву CAPTCHA

Зловмисники компрометують легітимні вебсайти й накладають на їхній вміст підроблене вікно в стилі Cloudflare Turnstile. Воно імітує звичайну перевірку «підтвердьте, що ви людина», але замість кліку просить скопіювати команду та вставити її у Windows Terminal або PowerShell. 3 29

Саме спосіб доставки відрізняє TerminalFix від багатьох попередніх кампаній ClickFix. Раніше жертв часто спрямовували до діалогового вікна «Виконати» у Windows. TerminalFix використовує Windows Terminal або PowerShell, де зручніше запускати складні багаторядкові сценарії. 1 3

2. PowerShell завантажує компоненти для DLL sideloading

Вставлений ланцюжок PowerShell завантажує ZIP-архів із двома ключовими файлами:

• легітимно підписаним LockScreenContentServer.exe;
• шкідливою бібліотекою dui70.dll.

Після запуску підписаний виконуваний файл завантажує контрольовану зловмисниками DLL за допомогою техніки DLL sideloading — підміни бібліотеки під час запуску легітимної програми. Використання підписаного виконуваного файла може зробити ланцюжок менш підозрілим, ніж безпосередній запуск невідомого бінарного файла. У наданих матеріалах назви файлів підтверджуються, однак точні хеші та факт модифікації легітимного виконуваного файла не встановлені. 29

3. Наступні пейлоади ховаються у PNG

Подальші компоненти кампанія маскує всередині PNG-файлів за допомогою стеганографії. Файли зчитуються та декодуються локально, тому кожен етап не виглядає як очевидне завантаження виконуваної програми. 10 29

4. З’являється механізм закріплення і починається розвідка

За даними про кампанію, зловмисники забезпечують постійне виконання через запис Run у реєстрі Windows і заплановане завдання. Крім того, шкідливий ланцюжок збирає відомості про систему та проводить розвідку Active Directory перед розгортанням тунелю. Це підвищує ризик для всієї мережі, а не лише для першої зараженої робочої станції. 4 29

Для захисників це важлива деталь: користувач, який виконав команду з фальшивої CAPTCHA, може мати справу не з ізольованим зараженням. Такий комп’ютер здатен стати точкою збору даних і плацдармом для доступу до мережі.

5. Python-імплант створює зворотний тунель

Кампанія розгортає компонент на Python, який запускається через pythonw.exe. Він встановлює з’єднання з gitnow[.]dev через TLS і WebSockets на TCP-порті 443, а потім ретранслює TCP-трафік у стилі SOCKS5. Практично це означає, що заражений комп’ютер може працювати як проксі між оператором і ресурсами, доступними з мережі жертви. 3 10

Тому опис Microsoft про «мережевий проксі-доступ» важливіший за типове попередження про інфокрадій. Мета зловмисників може полягати не лише у викраденні даних із першого зараженого пристрою, а й у доступі до внутрішніх систем організації. 3 15

Ознаки, які варто перевірити

У наданих джерелах немає повної таблиці IOC від Microsoft, хешів усіх файлів або назв кожної команди й механізму закріплення. Тому перелічені нижче ознаки слід використовувати як орієнтири для пошуку, а не як заміну оригінальним правилам і детекціям Microsoft.

Мережева активність

• DNS-, проксі-, firewall- і TLS/WebSocket-з’єднання з gitnow[.]dev;
• незвична вихідна активність TCP/443 із робочих станцій користувачів;
• з’єднання, що почалися невдовзі після підозрілої браузерної сесії або запуску PowerShell.

Процеси та файли

• pythonw.exe, запущений із неочікуваної директорії;
• запуск pythonw.exe дочірнім процесом PowerShell, Windows Terminal або LockScreenContentServer.exe;
• розміщення LockScreenContentServer.exe поруч із dui70.dll;
• ZIP-архіви, завантажені до профілю користувача або тимчасових каталогів;
• PNG-файли, які читають або декодують PowerShell чи Python;
• Python-скрипти, інтерпретатори або вбудовані середовища виконання, запущені з каталогів, доступних для запису користувачу.

Механізми закріплення

• нові або незнайомі записи Run у реєстрі;
• заплановані завдання, які запускають PowerShell, Python, pythonw.exe або файли з %AppData%, %LocalAppData%, %Temp%, Downloads та подібних каталогів.

Поведінка командного рядка

• інтерактивна активність PowerShell або Windows Terminal одразу після відвідування вебсторінки;
• ланцюжки завантаження, декодування та виконання;
• закодований або сильно обфускований PowerShell;
• команди, вставлені в термінал під час нібито CAPTCHA-перевірки чи «виправлення» проблеми.

Що робити після можливої атаки

Спочатку ізолювати пристрій, а потім зберегти докази

Від’єднайте підозрілий комп’ютер від мережі відповідно до процедури реагування на інциденти, водночас зберігши важливі дані з кінцевої точки, браузера, списку процесів і мережевих журналів. Перевіряйте не лише сам пристрій, а й обліковий запис користувача та його вихідні з’єднання. Це не варто розглядати як звичайне небажане завантаження.

Перевірити можливий доступ до внутрішньої мережі

Пошукайте наведені індикатори на кінцевих точках, у DNS-, проксі-, firewall- та журналах ідентифікації, а також у системах віддаленого доступу. Перегляньте телеметрію Active Directory і контролерів домену на предмет розвідки, підозрілих запитів щодо облікових записів або груп і можливих ознак переміщення мережею. Зворотний тунель робить перевірку внутрішньої доступності особливо важливою. 4 29

Змінити потенційно скомпрометовані облікові дані

Скиньте паролі та відкличте активні сесії або токени постраждалих користувачів. Насамперед перевірте привілейовані, сервісні й адміністраторські облікові записи, якими користувалися на зараженому комп’ютері, особливо якщо він мав доступ до важливих систем.

Обмежити ризиковані шляхи виконання

За можливості обмежте використання PowerShell і Windows Terminal колом схвалених адміністраторів або розробників. Застосовуйте принцип найменших привілеїв і контроль запуску програм, а також створюйте сповіщення про несанкціоновані інтерпретатори Python або виконання файлів із каталогів, доступних для запису користувачу.

Посилити телеметрію

Увімкніть журналювання блоків сценаріїв PowerShell, журналювання модулів і транскрипцію, якщо це відповідає політикам організації. Переконайтеся, що засоби захисту фіксують створення процесів, зміни запланованих завдань, закріплення через реєстр, DNS-запити та вихідні TLS-з’єднання. Це допоможе пов’язати початкову браузерну приманку з подальшим виконанням команд і мережевою активністю.

Заблокувати та відстежувати інфраструктуру

Заблокуйте gitnow[.]dev і перевірте історичні з’єднання з цим доменом. Блокування домену потрібно поєднувати з поведінковим моніторингом, адже інфраструктура зловмисників може змінюватися.

Головне правило для користувачів

Справжня CAPTCHA може попросити натиснути прапорець або виконати дію безпосередньо у браузері. Вона не повинна вимагати відкрити термінал, вставити невідому команду чи запустити PowerShell. Саме така інструкція є вирішальним сигналом соціальної інженерії в TerminalFix. 1 3

Для організацій навчання користувачів буде ефективнішим, якщо називати конкретну дію: ніколи не копіюйте й не запускайте команду, яку вебсторінка пропонує лише для проходження CAPTCHA або «виправлення» проблеми з браузером. Якщо ви вже виконали таку інструкцію, негайно повідомте про це відповідальним за безпеку та припиніть користуватися пристроєм до його перевірки.