TerminalFix: як фальшиві CAPTCHA перетворюють Windows-комп’ютери на проксі для атак

TerminalFix — це кампанія соціальної інженерії, яку Microsoft описала 28 серпня 2026 року. Вона є різновидом техніки ClickFix: замість використання вразливості браузера зловмисники переконують людину власноруч виконати шкідливий код. Атака починається зі зламаного легітимного сайту, але може завершитися створенням постійного зворотного тунелю — каналу, через який атакувальник отримує доступ до внутрішніх сервісів, доступних із зараженого комп’ютера. 1

Як працює атака через фальшиву CAPTCHA

Користувач заходить на легітимний сайт, який був змінений зловмисниками. На сторінці з’являється підроблений оверлей у стилі Cloudflare Turnstile із добре знайомою пропозицією «підтвердити, що ви людина».

Небезпека починається на наступному кроці: сторінка просить скопіювати певний текст і вставити його у Windows Terminal або PowerShell.

Це однозначний тривожний сигнал. CAPTCHA та Turnstile працюють у браузері й не вимагають відкривати командний рядок або виконувати вміст буфера обміну. TerminalFix розрахований на те, що користувач сприйме команду як частину перевірки, а не розпізнає її як програмний код. 1

Вказівка використовувати Windows Terminal або PowerShell також дає зловмисникам змогу передавати складніші багаторядкові команди, ніж у сценаріях, де жертву просять скористатися стандартним вікном «Виконати». 1

Багатоступенева доставка шкідливого ПЗ

Після запуску команди атака проходить через кілька етапів. Їхня мета — замаскувати шкідливу активність під роботу довірених інструментів і звичайних файлів:

1. Завантаження архіву. PowerShell завантажує ZIP-архів і розпаковує його в каталог із непомітною назвою під C:\ProgramData.
2. DLL sideloading. В архіві містяться підписаний Microsoft файл LockScreenContentServer.exe і контрольовані зловмисниками файли dui70.dll. Коли виконуваний файл шукає потрібну бібліотеку у власному каталозі, він завантажує шкідливу DLL. Підписаний файл залишається легітимним, але використовується як довірений компонент для запуску чужого коду.
3. Приховування в PNG. Наступні компоненти ховаються в даних PNG-зображень за допомогою стеганографії, тому їх складніше помітити під час базової перевірки файлів і завантажень.
4. Закріплення в системі. Записи автозапуску в реєстрі та заплановані завдання дають змогу шкідливим компонентам запускатися після входу користувача або через певні проміжки часу. 1

Для захисників це означає, що блокування одного імені файлу навряд чи буде достатнім. Потрібно пов’язувати між собою ланцюжок подій: запуск PowerShell, розпакування архіву, незвичне розміщення файлів, завантаження DLL, звернення до зображень і створення механізмів постійного запуску.

Що шукає шкідливе ПЗ

За даними Microsoft, шкідливе ПЗ збирає відомості про систему, користувачів, процеси, служби, мережу та контекст безпеки. Воно також проводить розвідку Active Directory, щоб визначити доменне середовище, системи й облікові записи, які можуть бути корисними для подальшого доступу. 1

Для команд безпеки підозрілими мають бути запити до служб каталогів зі звичайної робочої станції, особливо якщо вони відбуваються одночасно з іншими етапами ланцюжка TerminalFix. Серед важливих ознак — пошук контролерів домену, користувачів, груп, довірчих зв’язків, мережевих ресурсів, віддалених систем або привілейованих облікових записів.

Чому зворотний тунель підвищує ризик

Найнебезпечніший компонент кампанії — імплант client.py, який запускається через pythonw.exe. Цей виконуваний файл не відкриває звичайне консольне вікно, тому його робота може бути менш помітною для користувача. 1

Клієнт встановлює вихідне з’єднання через TLS і WebSockets із gitnow[.]dev. Він може отримати інструкцію під’єднатися від зараженого комп’ютера до певної внутрішньої адреси та порту, а потім передавати TCP-трафік назад через зашифрований WebSocket-канал за моделлю, подібною до SOCKS5. 1

На практиці заражений ПК перетворюється на керований ззовні мережевий проксі. Це не означає автоматичного доступу до кожної внутрішньої системи: важливі мережеве розташування пристрою та наявні дозволи. Однак через такий тунель можуть стати доступними сервіси, які не видно безпосередньо з інтернету. Тому інцидент перетворюється з проблеми «шкідливе ПЗ на одному ПК» на потенційний шлях до внутрішньої мережі.

Що шукати під час виявлення

Окремий індикатор не завжди є доказом зараження. Важливо виявляти комбінації таких ознак:

• браузерна сесія, після якої майже одразу запускаються Windows Terminal або PowerShell, особливо після CAPTCHA чи іншої «перевірки»;
• PowerShell, який завантажує, декодує, розпаковує або виконує вміст, вставлений із буфера обміну;
• PowerShell у прихованому вікні або запис архівів і виконуваних файлів у незвичні каталоги під ProgramData;
• запуск LockScreenContentServer.exe не з очікуваного системного каталогу Windows, особливо разом із dui70.dll у незвичному або доступному для запису каталозі;
• звернення до PNG-файлів незадовго до появи нових DLL, Python-файлів, запланованих завдань або записів автозапуску;
• нові чи змінені значення HKCU або HKLM у гілці ...\CurrentVersion\Run;
• заплановані завдання з незвичними назвами, регулярним запуском, підозрілими шляхами, PowerShell, pythonw.exe або client.py у параметрах дії;
• запуск pythonw.exe з аргументом client.py і вихідні TLS- або WebSocket-з’єднання з gitnow[.]dev;
• розвідка Active Directory та мережі з робочої станції, яка зазвичай не виконує таких запитів. 1

Перевірте DNS-, проксі-, міжмережеві, EDR-, TLS/SNI- та WebSocket-журнали на згадки gitnow[.]dev. Для повного переліку хешів, URL-адрес, шляхів до файлів, назв завдань і рекомендацій Microsoft слід звернутися до її опису кампанії: імена файлів та інфраструктура можуть змінюватися. 1

Що робити після підозрілого запуску

1. Ізолюйте пристрій. Від’єднайте підозрілий комп’ютер від мережі, але збережіть дані пам’яті, дерево процесів, журнали PowerShell, визначення запланованих завдань, ключі автозапуску, DNS- і проксі-записи та телеметрію EDR.
2. Заблокуйте інфраструктуру та визначте масштаб. Заблокуйте відомі домени й пов’язану інфраструктуру на рівнях DNS, захищеного вебшлюзу, проксі, фаєрвола та засобів захисту кінцевих точок. До повторного підключення пристрою перевірте всю організацію на наявність такого самого ланцюжка виконання.
3. Захистіть облікові записи. Вважайте потенційно скомпрометованими паролі, які використовувалися або зберігалися на цьому комп’ютері. Після локалізації інциденту та первинної оцінки масштабу змініть відповідні паролі й відкличте активні сеанси та токени. У пріоритеті мають бути привілейовані, доменні, хмарні, VPN-, браузерні, сервісні та API-облікові дані, доступні з пристрою.
4. Перевірте внутрішню активність. Проаналізуйте автентифікації Active Directory, віддалений доступ, активність файлових серверів, VPN і адміністративних інструментів, пов’язаних із пристроєм та його користувачем.
5. Перевстановіть систему за потреби. Підтверджено скомпрометовані системи бажано перевстановити або відновити з чистого образу. Видалення лише однієї DLL, запланованого завдання чи запису автозапуску може не прибрати інші механізми закріплення або доступ, отриманий через тунель.

Як зменшити ймовірність зараження

Організаціям варто обмежити використання PowerShell і Windows Terminal відповідно до ролей, застосовувати засоби контролю запуску програм, зокрема WDAC або AppLocker, де це доречно, і не покладатися лише на політику виконання PowerShell: вона не є повноцінним бар’єром безпеки. Принцип найменших привілеїв і відмова від непотрібних прав локального адміністратора зменшують наслідки успішної атаки.

Централізоване журналювання блоків сценаріїв PowerShell, зокрема події Event ID 4104, а також журналювання модулів, транскрипція за потреби, AMSI, EDR, захист від втручання та журналювання створення процесів допомагають відновити послідовність атаки. Браузерні та вебзасоби захисту також мають відстежувати перенаправлення зі зламаних сайтів, шкідливі ін’єкції скриптів, підозріле використання буфера обміну та відомі командні сервери. 1

Для користувачів правило має бути простим і однозначним: ніколи не вставляйте команди в «Виконати», командний рядок, PowerShell або Windows Terminal лише тому, що цього просить сайт, CAPTCHA, повідомлення браузера, реклама чи сторінка підтримки. Закрийте сторінку та повідомте про її URL відповідальним за безпеку.

TerminalFix показує, як довірені компоненти можуть стати частинами шкідливого ланцюжка. Підписаний виконуваний файл, Python, TLS, WebSockets, зображення та легітимний сайт окремо можуть виглядати звичайно. Тому ефективний захист залежить не лише від блокування окремого імені чи сигнатури, а й від кореляції поведінки, швидкої ізоляції пристроїв і негайного захисту облікових записів. 1