TerminalFix揭秘：假验证码如何把Windows电脑变成攻击者的反向隧道代理

TerminalFix是微软记录的一种社会工程攻击活动，属于ClickFix技术的变体。它不需要利用浏览器漏洞，而是诱骗用户亲自执行攻击者提供的代码。攻击通常从被入侵的正规网站开始，最终可能在受害Windows设备上建立持久化反向隧道，让攻击者借助这台电脑访问其能够连接到的内部服务。1

假验证码攻击是如何运作的

受害者首先访问一个已经被攻击者篡改的正规网站。页面随后弹出类似Cloudflare Turnstile的伪造验证窗口，使用“验证你是人类”等熟悉提示降低警惕。

真正危险的步骤发生在验证之后：页面要求用户复制一段内容，再将其粘贴到Windows Terminal或PowerShell中执行。

这本身就是一个明确的危险信号。CAPTCHA或Turnstile验证应当在浏览器中完成，不会要求用户打开命令行窗口，更不会要求执行剪贴板中的代码。TerminalFix利用了用户“这是验证流程一部分”的错觉，让用户把攻击命令当成普通操作。1

与传统ClickFix诱导用户打开“运行”对话框相比，要求使用Windows Terminal或PowerShell还便于攻击者投递更复杂的多行命令。1

多阶段恶意载荷链

命令执行后，攻击活动会经过多个阶段，并尽量把恶意行为伪装成受信任工具或普通文件：

1. 投递压缩包： PowerShell下载ZIP压缩包，并将其解压到C:\\ProgramData下一个不易引起注意的目录中。
2. DLL侧加载： 压缩包把微软签名的LockScreenContentServer.exe与攻击者控制的dui70.dll文件放在一起。当该可执行文件从本地目录寻找所需库文件时，就可能加载恶意DLL。签名程序本身仍然是合法文件，但它被用来间接执行攻击者代码。
3. 隐写载荷： 后续组件被藏入PNG图像数据中，降低了普通文件检查和下载检查发现恶意内容的可能性。
4. 建立持久化： 恶意组件通过注册表Run项和计划任务，在用户登录或预定时间到达时重新启动。1

这对防守方的意义在于：单纯封锁某一个文件名通常不够。更有效的做法是关联分析一系列行为，包括PowerShell执行、压缩包解压、异常目录写入、DLL加载、图像文件访问以及持久化配置变化。

恶意软件会侦察什么

微软的分析显示，该恶意软件会收集系统、用户、进程、服务、网络和安全环境信息，同时开展Active Directory侦察，以了解所在域环境，并寻找可能有利于后续入侵的系统或账户。1

因此，当一台通常不负责目录查询的普通工作站出现可疑Active Directory查询，并且同时伴随TerminalFix执行链时，安全团队应提高警惕。需要重点关注的活动包括枚举域控制器、用户、组、信任关系、共享资源、远程系统或高权限账户。

反向隧道为何会放大风险

这次活动最值得关注的组件，是通过pythonw.exe启动的Python植入程序client.py。由于pythonw.exe通常不会显示普通的控制台窗口，它对终端用户来说可能比传统命令行程序更不显眼。1

该客户端通过TLS和WebSocket向gitnow[.]dev发起出站通信。它可以接收指令，让受感染电脑连接某个内部地址和端口，再通过加密的WebSocket连接转发TCP流量，工作方式类似SOCKS5代理。1

换句话说，被感染的电脑可能被变成攻击者远程控制的网络代理。反向隧道并不意味着攻击者自动拥有所有内网系统的权限，实际可达性仍取决于这台电脑的网络路由和账户权限。但它可能把原本无法直接从互联网访问的内部服务暴露给攻击者，使事件从“单台电脑感染”升级为“内部网络访问风险”。

检测与威胁狩猎重点

不要把任何单一文件或域名视为决定性证据，应重点寻找下列信号的组合：

• 浏览器访问网站或遇到验证码提示后，紧接着出现Windows Terminal或PowerShell执行。
• PowerShell下载、解码、解压或执行来自剪贴板的内容。
• PowerShell以隐藏窗口运行，或在异常的ProgramData目录下写入压缩包和可执行文件。
• LockScreenContentServer.exe在预期Windows目录之外运行，尤其是与异常目录中的dui70.dll位于同一位置时。
• PNG文件被访问后不久，系统又出现新的DLL、Python文件、计划任务或Run项。
• 新建或修改HKCU或HKLM下的...\\CurrentVersion\\Run值。
• 计划任务使用异常名称，或其操作包含周期性执行、可疑路径、PowerShell、pythonw.exe或client.py。
• pythonw.exe以client.py为参数启动，并向gitnow[.]dev建立TLS或WebSocket连接。
• 普通工作站开展通常不应出现的Active Directory和网络枚举活动。1

安全团队还应在DNS、代理、防火墙、EDR、TLS/SNI和WebSocket日志中搜索gitnow[.]dev。微软的通告还提供了完整哈希、URL、文件路径、计划任务名称和检测建议，应结合这些信息开展调查，因为文件名和攻击基础设施可能发生变化。1

怀疑执行恶意命令后该怎么做

1. 立即隔离终端。 将可疑设备从网络中断开，同时尽量保留内存、进程树、PowerShell日志、计划任务定义、持久化注册表项、DNS与代理记录，以及EDR遥测数据。
2. 封锁并扩大排查范围。 在DNS、安全Web网关、代理、防火墙和终端安全控制层面封锁已识别的域名及投递基础设施。在重新连接设备前，先在整个环境中搜索相同的执行链。
3. 保护身份凭据。 应假设该设备上使用过或保存过的凭据可能已经暴露。完成遏制和初步范围确认后，重置相关密码并撤销有效会话和令牌，优先处理高权限账户、域账户、云账户、VPN账户、浏览器会话、服务账户和API凭据。
4. 调查内网活动。 检查与该终端及其用户相关的Active Directory身份验证、远程访问、文件服务器、VPN和管理工具活动。
5. 必要时重装系统。 对确认遭到入侵的系统，在条件允许时进行重建或重新制作镜像。仅删除一个DLL、计划任务或Run项，未必能清除其他持久化机制，也无法消除攻击者可能已经通过隧道获得的访问权限。

降低感染概率的安全控制

组织应根据岗位需求限制PowerShell和Windows Terminal的使用，并在适用情况下采用WDAC或AppLocker等应用控制方案。不要把执行策略单独当作安全边界；同时实施最小权限原则，取消不必要的本地管理员权限，以降低诱骗成功后的影响。

集中启用并收集PowerShell脚本块日志，包括事件ID 4104；在适当情况下同时启用模块日志和转录日志。AMSI、终端检测与响应、篡改防护，以及进程创建日志也有助于还原完整执行链。浏览器和Web安全控制则应关注被入侵网站的跳转、恶意脚本注入、可疑剪贴板操作和已知命令与控制基础设施。1

用户培训应牢记一条简单规则：**不要因为网站、验证码、浏览器错误、广告或所谓客服页面的要求，就把命令粘贴到“运行”、命令提示符、PowerShell或Windows Terminal中。**遇到这种页面，应直接关闭，并报告相关网址。

TerminalFix说明，攻击者可以把签名可执行文件、Python、TLS、WebSocket、图像文件和正规网站等看似正常的组件串成恶意攻击链。有效防御不能只依赖拦截某个文件名或特征码，而需要进行行为关联分析、快速隔离终端，并及时保护相关身份和凭据。1