TerminalFix 是 Microsoft 追蹤中的 ClickFix 攻擊活動。它把一般的安全驗證頁面，換成一個危險指示：要求用戶開啟 Windows Terminal 或 PowerShell，貼上指令並執行。Microsoft 於2026年8月28日表示，這個變種利用被入侵的網站及仿冒 Cloudflare CAPTCHA 驗證，發動多階段入侵。 3

這次攻擊的嚴重性，不只在於下載一次惡意軟件。據報道，最終植入的是一個反向隧道程式，能透過受感染的 Windows 主機提供網絡層面的代理存取，令操作者有機會借道進入內部系統及服務。 3 15

TerminalFix 攻擊如何運作

1. 正常網站變成投遞入口

攻擊者先入侵原本看似正常的網站，再在頁面上加上一層仿冒 Cloudflare Turnstile 的 CAPTCHA 覆蓋畫面。這個誘餌看起來像普通的「驗證你不是機械人」程序，但實際上會指示訪客把一段指令複製並貼入 Windows Terminal 或 PowerShell。 3 29

這個轉變是今次活動的關鍵。傳統 ClickFix 攻擊通常叫受害者開啟 Windows「執行」對話框；TerminalFix 則改為使用 Windows Terminal 或 PowerShell，令較複雜、甚至包含多行內容的指令更容易成功執行。 1 3

2. PowerShell 下載 DLL 側載組件

用戶貼上的 PowerShell 指令鏈會下載一個 ZIP 壓縮檔，內含兩個重要檔案：

• 一個有合法數碼簽署的 LockScreenContentServer.exe
• 一個惡意的 dui70.dll

當有合法簽署的執行檔被啟動後，便會透過 DLL 側載載入攻擊者控制的 DLL。利用合法簽署程式，有助令整個流程看起來不像直接執行一個來歷不明的二進制檔案。現有報道列出了上述檔名，但未確定確切雜湊值，也未證實該合法執行檔本身曾被修改。 29

3. 用 PNG 圖片隱藏後續載荷

攻擊活動把後續階段的組件利用隱寫術藏在 PNG 圖片內，之後再於本機讀取及解碼。這樣一來，入侵者便可取得更多程式碼，而不必把每一個階段都以明顯的可執行檔形式下載到電腦。 10 29

4. 建立持久化並進行偵察

據報道，TerminalFix 會同時利用 Registry 的 Run 項目及排程工作建立持久化機制，並在部署隧道前進行主機及 Active Directory 偵察。這令風險不再局限於最初被感染的電腦。 4 29

對防守團隊而言，兩者結合尤其值得注意：用戶一旦執行了假 CAPTCHA 提供的指令，受影響的可能不只是一部孤立工作站。該主機可以變成偵察內部環境及進一步連接網絡的跳板。

5. Python 植入程式建立反向隧道

攻擊活動透過 pythonw.exe 部署以 Python 編寫的反向隧道組件。它會經 TLS 及 WebSockets，透過 TCP 443 連接 gitnow[.]dev，再轉發 SOCKS5 類型的 TCP 流量。簡單來說，受感染電腦可以充當操作者與受害者網絡內資源之間的代理。 3 10

因此，Microsoft形容該植入程式能提供網絡層面的代理存取，意義比一般資訊竊取程式警報更大：攻擊者的目標可能不只是從第一部主機收集資料，還包括取得內部網絡的可達性。 3 15

可供調查的入侵指標

現有資料並不包括 Microsoft 完整的 IOC 表、雜湊值，亦未列出所有指令及持久化名稱。以下內容應視為威脅搜尋線索，而不是取代 Microsoft 原始偵測規則的完整清單。

網絡活動

• DNS、代理、防火牆，以及 TLS 或 WebSocket 連線曾連往 gitnow[.]dev
• 用戶工作站出現不尋常的對外 TCP/443 流量
• 連線在可疑瀏覽器工作階段或 PowerShell 執行後不久開始

程序及檔案

• pythonw.exe 從不尋常的資料夾執行
• pythonw.exe 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 啟動
• LockScreenContentServer.exe 與 dui70.dll 位於同一資料夾
• ZIP 壓縮檔被下載到用戶設定檔或暫存資料夾
• PowerShell 或 Python 讀取、解碼 PNG 圖片
• Python 腳本、直譯器或內嵌執行環境從用戶可寫入的路徑啟動

持久化機制

• 新增或不熟悉的 Registry Run 項目
• 排程工作啟動 PowerShell、Python、pythonw.exe，或位於 %AppData%、%LocalAppData%、%Temp%、Downloads 等用戶可寫入位置的檔案

指令列行為

• 用戶瀏覽網站後，緊接着出現互動式 PowerShell 或 Windows Terminal 活動
• 下載、解碼及執行串連
• 經編碼或高度混淆的 PowerShell
• 用戶在所謂 CAPTCHA 或驗證步驟中，把指令貼入終端機

懷疑受感染後應怎樣處理

先隔離，再保留證據

按照機構的事故應變流程，先把可疑主機與網絡隔離，同時保留端點、瀏覽器、程序及網絡相關證據。調查範圍不應只當作一般不受歡迎下載，而要一併檢查主機、用戶帳戶及其對外連線。

搜尋內部存取及橫向移動

在端點、DNS、代理、防火牆、身份驗證及遠端存取日誌中，搜尋上述指標。亦應檢查 Active Directory 及網域控制站遙測資料，留意偵察行為、可疑的帳戶或群組查詢，以及橫向移動跡象。由於反向隧道具備連接內部網絡的能力，評估內部資源是否可被到達尤其重要。 4 29

輪換可能外洩的憑證

為受影響用戶重設密碼，並撤銷現有工作階段或權杖。若受感染主機曾使用具特權、服務或管理員帳戶，應優先處理這些帳戶，尤其是該主機能夠連接敏感系統的情況。

收緊高風險執行路徑

在可行情況下，把 PowerShell 及 Windows Terminal 的使用限制於獲批准的管理或開發人員群組。實施最小權限及應用程式控制，並對未獲批准的 Python 直譯器，或從用戶可寫入資料夾執行的活動發出警報。

加強遙測能力

在合適情況下啟用 PowerShell Script Block Logging、模組記錄及轉錄功能。確保端點監察涵蓋程序建立、排程工作變更、Registry 持久化、DNS 查詢及對外 TLS 連線。這些訊號有助把最初的瀏覽器誘餌，與其後的執行及網絡活動串連起來。

封鎖並監察相關基礎設施

封鎖 gitnow[.]dev，並調查過往曾連往該網域的紀錄。不過，網域封鎖不應單獨使用，還要配合行為監察，因為攻擊者控制的基礎設施可能隨時更換。

用戶最需要記住的一句警告

真正的 CAPTCHA 可能要求用戶按一下核取方格，或完成瀏覽器內的互動；但它不會叫你開啟終端機、貼上不明指令，或者執行 PowerShell。這個指示正是 TerminalFix 最明顯的社交工程紅旗。 1 3

對企業而言，用戶教育最好直接指出要避免的行為：不要只為了通過 CAPTCHA，或「修復」瀏覽器問題，就複製並執行網頁提供的指令。如果已經照做，最安全的下一步是立即通報事故，並停止使用該裝置，直至完成安全評估。

TerminalFix 是 Microsoft 追蹤中的 ClickFix 攻擊活動。它把一般的安全驗證頁面，換成一個危險指示：要求用戶開啟 Windows Terminal 或 PowerShell，貼上指令並執行。Microsoft 於2026年8月28日表示，這個變種利用被入侵的網站及仿冒 Cloudflare CAPTCHA 驗證，發動多階段入侵。 3

這次攻擊的嚴重性，不只在於下載一次惡意軟件。據報道，最終植入的是一個反向隧道程式，能透過受感染的 Windows 主機提供網絡層面的代理存取，令操作者有機會借道進入內部系統及服務。 3 15

TerminalFix 攻擊如何運作

1. 正常網站變成投遞入口

攻擊者先入侵原本看似正常的網站，再在頁面上加上一層仿冒 Cloudflare Turnstile 的 CAPTCHA 覆蓋畫面。這個誘餌看起來像普通的「驗證你不是機械人」程序，但實際上會指示訪客把一段指令複製並貼入 Windows Terminal 或 PowerShell。 3 29

這個轉變是今次活動的關鍵。傳統 ClickFix 攻擊通常叫受害者開啟 Windows「執行」對話框；TerminalFix 則改為使用 Windows Terminal 或 PowerShell，令較複雜、甚至包含多行內容的指令更容易成功執行。 1 3

2. PowerShell 下載 DLL 側載組件

用戶貼上的 PowerShell 指令鏈會下載一個 ZIP 壓縮檔，內含兩個重要檔案：

• 一個有合法數碼簽署的 LockScreenContentServer.exe
• 一個惡意的 dui70.dll

當有合法簽署的執行檔被啟動後，便會透過 DLL 側載載入攻擊者控制的 DLL。利用合法簽署程式，有助令整個流程看起來不像直接執行一個來歷不明的二進制檔案。現有報道列出了上述檔名，但未確定確切雜湊值，也未證實該合法執行檔本身曾被修改。 29

3. 用 PNG 圖片隱藏後續載荷

攻擊活動把後續階段的組件利用隱寫術藏在 PNG 圖片內，之後再於本機讀取及解碼。這樣一來，入侵者便可取得更多程式碼，而不必把每一個階段都以明顯的可執行檔形式下載到電腦。 10 29

4. 建立持久化並進行偵察

據報道，TerminalFix 會同時利用 Registry 的 Run 項目及排程工作建立持久化機制，並在部署隧道前進行主機及 Active Directory 偵察。這令風險不再局限於最初被感染的電腦。 4 29

對防守團隊而言，兩者結合尤其值得注意：用戶一旦執行了假 CAPTCHA 提供的指令，受影響的可能不只是一部孤立工作站。該主機可以變成偵察內部環境及進一步連接網絡的跳板。

5. Python 植入程式建立反向隧道

攻擊活動透過 pythonw.exe 部署以 Python 編寫的反向隧道組件。它會經 TLS 及 WebSockets，透過 TCP 443 連接 gitnow[.]dev，再轉發 SOCKS5 類型的 TCP 流量。簡單來說，受感染電腦可以充當操作者與受害者網絡內資源之間的代理。 3 10

因此，Microsoft形容該植入程式能提供網絡層面的代理存取，意義比一般資訊竊取程式警報更大：攻擊者的目標可能不只是從第一部主機收集資料，還包括取得內部網絡的可達性。 3 15

可供調查的入侵指標

現有資料並不包括 Microsoft 完整的 IOC 表、雜湊值，亦未列出所有指令及持久化名稱。以下內容應視為威脅搜尋線索，而不是取代 Microsoft 原始偵測規則的完整清單。

網絡活動

• DNS、代理、防火牆，以及 TLS 或 WebSocket 連線曾連往 gitnow[.]dev
• 用戶工作站出現不尋常的對外 TCP/443 流量
• 連線在可疑瀏覽器工作階段或 PowerShell 執行後不久開始

程序及檔案

• pythonw.exe 從不尋常的資料夾執行
• pythonw.exe 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 啟動
• LockScreenContentServer.exe 與 dui70.dll 位於同一資料夾
• ZIP 壓縮檔被下載到用戶設定檔或暫存資料夾
• PowerShell 或 Python 讀取、解碼 PNG 圖片
• Python 腳本、直譯器或內嵌執行環境從用戶可寫入的路徑啟動

持久化機制

• 新增或不熟悉的 Registry Run 項目
• 排程工作啟動 PowerShell、Python、pythonw.exe，或位於 %AppData%、%LocalAppData%、%Temp%、Downloads 等用戶可寫入位置的檔案

指令列行為

• 用戶瀏覽網站後，緊接着出現互動式 PowerShell 或 Windows Terminal 活動
• 下載、解碼及執行串連
• 經編碼或高度混淆的 PowerShell
• 用戶在所謂 CAPTCHA 或驗證步驟中，把指令貼入終端機

懷疑受感染後應怎樣處理

先隔離，再保留證據

按照機構的事故應變流程，先把可疑主機與網絡隔離，同時保留端點、瀏覽器、程序及網絡相關證據。調查範圍不應只當作一般不受歡迎下載，而要一併檢查主機、用戶帳戶及其對外連線。

搜尋內部存取及橫向移動

在端點、DNS、代理、防火牆、身份驗證及遠端存取日誌中，搜尋上述指標。亦應檢查 Active Directory 及網域控制站遙測資料，留意偵察行為、可疑的帳戶或群組查詢，以及橫向移動跡象。由於反向隧道具備連接內部網絡的能力，評估內部資源是否可被到達尤其重要。 4 29

輪換可能外洩的憑證

為受影響用戶重設密碼，並撤銷現有工作階段或權杖。若受感染主機曾使用具特權、服務或管理員帳戶，應優先處理這些帳戶，尤其是該主機能夠連接敏感系統的情況。

收緊高風險執行路徑

在可行情況下，把 PowerShell 及 Windows Terminal 的使用限制於獲批准的管理或開發人員群組。實施最小權限及應用程式控制，並對未獲批准的 Python 直譯器，或從用戶可寫入資料夾執行的活動發出警報。

加強遙測能力

在合適情況下啟用 PowerShell Script Block Logging、模組記錄及轉錄功能。確保端點監察涵蓋程序建立、排程工作變更、Registry 持久化、DNS 查詢及對外 TLS 連線。這些訊號有助把最初的瀏覽器誘餌，與其後的執行及網絡活動串連起來。

封鎖並監察相關基礎設施

封鎖 gitnow[.]dev，並調查過往曾連往該網域的紀錄。不過，網域封鎖不應單獨使用，還要配合行為監察，因為攻擊者控制的基礎設施可能隨時更換。

用戶最需要記住的一句警告

真正的 CAPTCHA 可能要求用戶按一下核取方格，或完成瀏覽器內的互動；但它不會叫你開啟終端機、貼上不明指令，或者執行 PowerShell。這個指示正是 TerminalFix 最明顯的社交工程紅旗。 1 3

對企業而言，用戶教育最好直接指出要避免的行為：不要只為了通過 CAPTCHA，或「修復」瀏覽器問題，就複製並執行網頁提供的指令。如果已經照做，最安全的下一步是立即通報事故，並停止使用該裝置，直至完成安全評估。