TerminalFix 是微软追踪到的一项 ClickFix 攻击活动。它把普通的“验证你是人类”页面，变成了一条危险指令：打开 Windows Terminal 或 PowerShell，复制一段命令并执行。微软于 2026 年 8 月 28 日表示，该活动利用被入侵的网站和仿冒 Cloudflare CAPTCHA 验证，发动多阶段入侵。3

这次攻击的风险并不止于下载一次恶意软件。其最终阶段是一个反向隧道植入程序，可通过受感染的 Windows 主机提供网络级代理访问，使攻击者有机会进一步触达受害组织内部的系统和服务。3 15

TerminalFix 如何运作

1. 正常网站被用作投递入口

攻击者入侵原本合法的网站，并在页面上覆盖一层仿冒 Cloudflare Turnstile 的 CAPTCHA 界面。页面看起来像常见的“验证你不是机器人”，但实际上会要求访客将一条命令复制、粘贴到 Windows Terminal 或 PowerShell 中执行。3 29

这正是 TerminalFix 与传统 ClickFix 的关键区别。传统 ClickFix 活动通常诱导受害者打开 Windows“运行”对话框；TerminalFix 则直接要求使用 Windows Terminal 或 PowerShell，更利于顺利执行复杂的多行脚本。1 3

2. PowerShell 下载用于 DLL 旁加载的组件

用户粘贴的 PowerShell 命令链会下载一个 ZIP 压缩包，其中包含两个关键文件：

• 正版签名的 LockScreenContentServer.exe
• 恶意的 dui70.dll

启动该签名可执行文件后，它会通过 DLL 旁加载机制载入攻击者控制的 DLL。使用带有合法签名的可执行文件，可能比直接启动一个未知二进制文件更不容易引起警觉。现有报道给出了这些文件名，但没有确认具体哈希，也没有证明该正版可执行文件本身被篡改。29

3. PNG 图片隐藏后续载荷

攻击者还会利用隐写术，把后续组件藏进 PNG 图片。相关文件随后在本地被读取和解码，使攻击链无需将每个阶段都以明显的可执行文件下载形式呈现。10 29

4. 建立持久化并侦察环境

据报道，该活动同时通过注册表 Run 项和计划任务建立持久化，并在部署隧道前收集主机信息、开展 Active Directory 侦察。这意味着风险可能迅速超出最初被感染的那台电脑。4 29

对防守方而言，两者结合尤其值得警惕：执行了假 CAPTCHA 命令的用户，面对的可能并非一次孤立的工作站感染。受感染主机可能成为攻击者进行内部发现和网络访问的跳板。

5. Python 植入程序建立反向隧道

攻击活动通过 pythonw.exe 部署基于 Python 的反向隧道组件。该组件经由 TLS 和 WebSocket 连接到 gitnow[.]dev 的 TCP 443 端口，并转发类似 SOCKS5 的 TCP 流量。简单来说，受感染电脑可能被用作攻击者与受害网络内部资源之间的代理。3 10

因此，微软将其描述为能够提供网络级代理访问的植入程序，其意义远超普通信息窃取软件警报：攻击目标可能不只是第一台主机上的数据，还包括通过该主机获得内部网络可达性。3 15

建议排查的入侵迹象

现有材料并未提供完整的微软 IOC 表、文件哈希、全部命令或每个持久化对象的名称。以下项目应作为威胁狩猎线索，而不能替代微软原始检测规则。

网络活动

• DNS、代理、防火墙以及 TLS 或 WebSocket 日志中出现与 gitnow[.]dev 的连接
• 用户工作站发起异常的出站 TCP/443 流量
• 在可疑浏览器会话或 PowerShell 执行后不久开始的相关连接

进程与文件

• 从异常目录运行的 pythonw.exe
• 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 启动的 pythonw.exe
• 与 dui70.dll 位于同一目录的 LockScreenContentServer.exe
• 下载到用户配置文件目录或临时目录中的 ZIP 压缩包
• 被 PowerShell 或 Python 读取、解码的 PNG 文件
• 从用户可写目录启动的 Python 脚本、解释器或嵌入式运行时

持久化机制

• 新出现或不熟悉的注册表 Run 项
• 启动 PowerShell、Python、pythonw.exe，或执行 %AppData%、%LocalAppData%、%Temp%、Downloads 等目录中文件的可疑计划任务

命令行行为

• 用户访问网页后立即出现交互式 PowerShell 或 Windows Terminal 活动
• “下载—解码—执行”命令链
• 经过编码或高度混淆的 PowerShell
• 在所谓 CAPTCHA 或“验证”步骤中粘贴到终端的命令

怀疑中招后，防守方应该怎么做

先隔离，再保留证据

按照组织的事件响应流程，将疑似受感染主机从网络中隔离，同时保留终端、浏览器、进程和网络证据。调查范围不应局限于“下载了一个不受欢迎的文件”，还应覆盖该主机、使用它的用户账户及其出站连接。

排查内部访问和横向移动

在终端、DNS、代理、防火墙、身份认证和远程访问日志中搜索上述迹象。检查 Active Directory 和域控制器遥测数据，重点关注侦察行为、可疑的账户或组查询，以及横向移动迹象。由于反向隧道可能扩大内部网络可达范围，确认攻击者能够接触哪些系统尤为重要。4 29

轮换可能暴露的凭据

重置受影响用户的凭据，并撤销其活动会话或令牌。若特权账户、服务账户或管理员账户曾在受感染主机上使用，应优先处理这些账户，尤其是该主机能够访问敏感系统的情况下。

限制高风险执行路径

在可行范围内，将 PowerShell 和 Windows Terminal 的使用限制在获批准的管理或开发人员群体。落实最小权限和应用控制，并对未经批准的 Python 解释器，以及从用户可写目录执行程序的行为设置告警。

补强日志和检测能力

在适当情况下启用 PowerShell Script Block Logging、模块日志记录和转录功能。确保终端安全平台能够记录进程创建、计划任务变更、注册表持久化、DNS 查询以及出站 TLS 连接。将这些信号关联起来，有助于把最初的浏览器诱导行为与后续执行和网络活动串联起来。

拦截并监控相关基础设施

拦截 gitnow[.]dev，并回溯调查历史连接。仅依靠域名或 IP 封锁并不充分，因为攻击者控制的基础设施可能发生变化；应同时部署基于行为的监控。

给普通用户的提醒很简单

正规 CAPTCHA 可能要求用户点击复选框，或在浏览器中完成交互验证，但不会要求用户打开终端、粘贴陌生命令或运行 PowerShell。TerminalFix 最关键的社会工程学红旗，就是这条看似“验证”、实则要求执行命令的指令。1 3

企业安全培训也应明确说出要避免的具体行为：不要因为网页声称要通过 CAPTCHA、修复浏览器问题或完成验证，就复制并执行网页提供的命令。如果已经照做，最安全的做法是立即报告事件，并在设备完成检查前停止继续使用。

TerminalFix 是微软追踪到的一项 ClickFix 攻击活动。它把普通的“验证你是人类”页面，变成了一条危险指令：打开 Windows Terminal 或 PowerShell，复制一段命令并执行。微软于 2026 年 8 月 28 日表示，该活动利用被入侵的网站和仿冒 Cloudflare CAPTCHA 验证，发动多阶段入侵。3

这次攻击的风险并不止于下载一次恶意软件。其最终阶段是一个反向隧道植入程序，可通过受感染的 Windows 主机提供网络级代理访问，使攻击者有机会进一步触达受害组织内部的系统和服务。3 15

TerminalFix 如何运作

1. 正常网站被用作投递入口

攻击者入侵原本合法的网站，并在页面上覆盖一层仿冒 Cloudflare Turnstile 的 CAPTCHA 界面。页面看起来像常见的“验证你不是机器人”，但实际上会要求访客将一条命令复制、粘贴到 Windows Terminal 或 PowerShell 中执行。3 29

这正是 TerminalFix 与传统 ClickFix 的关键区别。传统 ClickFix 活动通常诱导受害者打开 Windows“运行”对话框；TerminalFix 则直接要求使用 Windows Terminal 或 PowerShell，更利于顺利执行复杂的多行脚本。1 3

2. PowerShell 下载用于 DLL 旁加载的组件

用户粘贴的 PowerShell 命令链会下载一个 ZIP 压缩包，其中包含两个关键文件：

• 正版签名的 LockScreenContentServer.exe
• 恶意的 dui70.dll

启动该签名可执行文件后，它会通过 DLL 旁加载机制载入攻击者控制的 DLL。使用带有合法签名的可执行文件，可能比直接启动一个未知二进制文件更不容易引起警觉。现有报道给出了这些文件名，但没有确认具体哈希，也没有证明该正版可执行文件本身被篡改。29

3. PNG 图片隐藏后续载荷

攻击者还会利用隐写术，把后续组件藏进 PNG 图片。相关文件随后在本地被读取和解码，使攻击链无需将每个阶段都以明显的可执行文件下载形式呈现。10 29

4. 建立持久化并侦察环境

据报道，该活动同时通过注册表 Run 项和计划任务建立持久化，并在部署隧道前收集主机信息、开展 Active Directory 侦察。这意味着风险可能迅速超出最初被感染的那台电脑。4 29

对防守方而言，两者结合尤其值得警惕：执行了假 CAPTCHA 命令的用户，面对的可能并非一次孤立的工作站感染。受感染主机可能成为攻击者进行内部发现和网络访问的跳板。

5. Python 植入程序建立反向隧道

攻击活动通过 pythonw.exe 部署基于 Python 的反向隧道组件。该组件经由 TLS 和 WebSocket 连接到 gitnow[.]dev 的 TCP 443 端口，并转发类似 SOCKS5 的 TCP 流量。简单来说，受感染电脑可能被用作攻击者与受害网络内部资源之间的代理。3 10

因此，微软将其描述为能够提供网络级代理访问的植入程序，其意义远超普通信息窃取软件警报：攻击目标可能不只是第一台主机上的数据，还包括通过该主机获得内部网络可达性。3 15

建议排查的入侵迹象

现有材料并未提供完整的微软 IOC 表、文件哈希、全部命令或每个持久化对象的名称。以下项目应作为威胁狩猎线索，而不能替代微软原始检测规则。

网络活动

• DNS、代理、防火墙以及 TLS 或 WebSocket 日志中出现与 gitnow[.]dev 的连接
• 用户工作站发起异常的出站 TCP/443 流量
• 在可疑浏览器会话或 PowerShell 执行后不久开始的相关连接

进程与文件

• 从异常目录运行的 pythonw.exe
• 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 启动的 pythonw.exe
• 与 dui70.dll 位于同一目录的 LockScreenContentServer.exe
• 下载到用户配置文件目录或临时目录中的 ZIP 压缩包
• 被 PowerShell 或 Python 读取、解码的 PNG 文件
• 从用户可写目录启动的 Python 脚本、解释器或嵌入式运行时

持久化机制

• 新出现或不熟悉的注册表 Run 项
• 启动 PowerShell、Python、pythonw.exe，或执行 %AppData%、%LocalAppData%、%Temp%、Downloads 等目录中文件的可疑计划任务

命令行行为

• 用户访问网页后立即出现交互式 PowerShell 或 Windows Terminal 活动
• “下载—解码—执行”命令链
• 经过编码或高度混淆的 PowerShell
• 在所谓 CAPTCHA 或“验证”步骤中粘贴到终端的命令

怀疑中招后，防守方应该怎么做

先隔离，再保留证据

按照组织的事件响应流程，将疑似受感染主机从网络中隔离，同时保留终端、浏览器、进程和网络证据。调查范围不应局限于“下载了一个不受欢迎的文件”，还应覆盖该主机、使用它的用户账户及其出站连接。

排查内部访问和横向移动

在终端、DNS、代理、防火墙、身份认证和远程访问日志中搜索上述迹象。检查 Active Directory 和域控制器遥测数据，重点关注侦察行为、可疑的账户或组查询，以及横向移动迹象。由于反向隧道可能扩大内部网络可达范围，确认攻击者能够接触哪些系统尤为重要。4 29

轮换可能暴露的凭据

重置受影响用户的凭据，并撤销其活动会话或令牌。若特权账户、服务账户或管理员账户曾在受感染主机上使用，应优先处理这些账户，尤其是该主机能够访问敏感系统的情况下。

限制高风险执行路径

在可行范围内，将 PowerShell 和 Windows Terminal 的使用限制在获批准的管理或开发人员群体。落实最小权限和应用控制，并对未经批准的 Python 解释器，以及从用户可写目录执行程序的行为设置告警。

补强日志和检测能力

在适当情况下启用 PowerShell Script Block Logging、模块日志记录和转录功能。确保终端安全平台能够记录进程创建、计划任务变更、注册表持久化、DNS 查询以及出站 TLS 连接。将这些信号关联起来，有助于把最初的浏览器诱导行为与后续执行和网络活动串联起来。

拦截并监控相关基础设施

拦截 gitnow[.]dev，并回溯调查历史连接。仅依靠域名或 IP 封锁并不充分，因为攻击者控制的基础设施可能发生变化；应同时部署基于行为的监控。

给普通用户的提醒很简单

正规 CAPTCHA 可能要求用户点击复选框，或在浏览器中完成交互验证，但不会要求用户打开终端、粘贴陌生命令或运行 PowerShell。TerminalFix 最关键的社会工程学红旗，就是这条看似“验证”、实则要求执行命令的指令。1 3

企业安全培训也应明确说出要避免的具体行为：不要因为网页声称要通过 CAPTCHA、修复浏览器问题或完成验证，就复制并执行网页提供的命令。如果已经照做，最安全的做法是立即报告事件，并在设备完成检查前停止继续使用。