TerminalFix 是 Microsoft 追蹤的一種 ClickFix 攻擊活動。它把看似普通的「驗證你不是機器人」步驟，換成危險指示：開啟 Windows Terminal 或 PowerShell，貼上一段指令並執行。Microsoft 於 2026 年 8 月 28 日說明，這個變種利用遭入侵的網站與仿冒 Cloudflare CAPTCHA，發動多階段入侵。 3

這並非單純下載一次惡意軟體就結束。據報導，攻擊最後會部署能提供網路層級代理存取的反向通道植入程式，讓操作者可能透過受感染的 Windows 主機接觸受害組織的內部系統與服務。 3 15

TerminalFix 的攻擊流程

1. 正常網站被用作投遞入口

攻擊者先入侵原本合法的網站，接著在頁面上加蓋仿冒 Cloudflare Turnstile 的 CAPTCHA 視窗。畫面看起來像一般的「驗證你是人類」檢查，卻要求訪客把指令複製、貼到 Windows Terminal 或 PowerShell 中執行。 3 29

這正是 TerminalFix 與傳統 ClickFix 的關鍵差異。過去的 ClickFix 活動常引導受害者開啟 Windows「執行」對話方塊；TerminalFix 則改要求使用 Windows Terminal 或 PowerShell，讓較複雜、甚至多行的指令碼更容易成功執行。 1 3

2. PowerShell 下載 DLL 側載元件

使用者貼上的 PowerShell 指令鏈會下載一個 ZIP 壓縮檔，內含兩個重要檔案：

• 合法簽署的 LockScreenContentServer.exe
• 惡意的 dui70.dll

啟動已簽署的執行檔後，程式會透過 DLL 側載載入攻擊者控制的 DLL。利用具合法簽章的執行檔，有助於讓這段流程看起來不像直接執行未知二進位檔那麼可疑。不過，目前提供的報導只列出檔名，並未證實該合法執行檔遭修改，也沒有提供確切雜湊值。 29

3. 以 PNG 圖片隱藏後續載荷

攻擊活動使用隱寫術，把後續元件藏進 PNG 圖片。這些檔案會在本機被讀取與解碼，讓攻擊者可以取得更多程式碼，而不必把每個階段都以明顯的可執行檔形式下載到電腦上。 10 29

4. 建立持久化並進行偵察

據報導，TerminalFix 同時透過 Registry Run 項目與排程工作建立持久化機制。此外，攻擊者還會進行主機與 Active Directory 偵察，之後才部署反向通道，因此風險不只侷限於最初遭感染的端點。 4 29

對防禦團隊而言，這個組合尤其值得注意：使用者一旦執行了假 CAPTCHA 提供的指令，受感染的可能不只是單獨一台工作站。該主機可能進一步成為內部資產探索與網路存取的跳板。

5. Python 植入程式建立反向通道

活動會透過 pythonw.exe 執行以 Python 為基礎的反向通道元件。該元件使用 TLS 與 WebSocket，經 TCP 443 連線至 gitnow[.]dev，再轉送類 SOCKS5 的 TCP 流量。實際效果是，受感染電腦可能充當操作者與受害者內部網路資源之間的代理。 3 10

因此，Microsoft 將這個植入程式描述為可提供網路層級代理存取，意義比一般資訊竊取程式警報更嚴重：攻擊者的目標可能不只是收集第一台主機上的資料，也包括取得內部網路的可達性。 3 15

可調查的入侵指標

目前提供的資料沒有完整的 Microsoft IOC 表、檔案雜湊、所有指令內容或每個持久化項目的名稱。以下項目應視為威脅狩獵線索，不能取代 Microsoft 原始偵測規則。

網路活動

• DNS、Proxy、防火牆，以及 TLS 或 WebSocket 連線至 gitnow[.]dev
• 使用者工作站發起的不尋常對外 TCP/443 流量
• 緊接在可疑瀏覽器工作階段或 PowerShell 執行後出現的連線

程序與檔案

• 從非預期目錄執行的 pythonw.exe
• 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 啟動的 pythonw.exe
• 與 dui70.dll 位於同一目錄的 LockScreenContentServer.exe
• 下載到使用者設定檔或暫存目錄的 ZIP 壓縮檔
• 被 PowerShell 或 Python 讀取、解碼的 PNG 檔案
• 從使用者可寫入路徑啟動的 Python 腳本、直譯器或內嵌執行環境

持久化機制

• 新增或不熟悉的 Registry Run 項目
• 會啟動 PowerShell、Python、pythonw.exe，或執行 %AppData%、%LocalAppData%、%Temp%、Downloads 等使用者可寫入路徑檔案的排程工作

命令列行為

• 使用者造訪網站後，隨即出現互動式 PowerShell 或 Windows Terminal 活動
• 下載、解碼、執行串接在一起的指令流程
• 經編碼或高度混淆的 PowerShell
• 在聲稱是 CAPTCHA 或驗證步驟期間，將網頁提供的指令貼入終端機

懷疑遭入侵後應採取的措施

先隔離，再保存證據

依照組織的事件應變流程，先讓疑似受感染主機與網路隔離，同時保存端點、瀏覽器、程序與網路相關證據。調查範圍不應只停留在「下載了不受歡迎的檔案」，還要涵蓋該主機、使用者帳戶與對外連線。

釐清是否已接觸內部系統

在端點、DNS、Proxy、防火牆、身分識別與遠端存取紀錄中搜尋上述指標。另應檢查 Active Directory 與網域控制站遙測資料，留意偵察行為、可疑的帳戶或群組查詢，以及橫向移動跡象。由於反向通道具備內部網路存取能力，評估攻擊者可能到達哪些資源尤其重要。 4 29

輪替可能外洩的憑證

重設受影響使用者的憑證，並撤銷現有工作階段或權杖。若受感染主機曾使用過特權、服務或系統管理員帳戶，應優先處理這些帳戶，尤其是主機能連線至敏感系統的情況。

限制高風險執行路徑

在可行的情況下，將 PowerShell 與 Windows Terminal 限制給核准的系統管理或開發人員群組使用。落實最小權限與應用程式控管，並針對未核准的 Python 直譯器，或從使用者可寫入目錄執行程式的行為建立告警。

補強遙測能力

在適當情況下啟用 PowerShell Script Block Logging、模組記錄與轉錄功能。確保端點監控能掌握程序建立、排程工作變更、Registry 持久化、DNS 查詢與對外 TLS 連線。這些訊號有助於把最初的瀏覽器誘餌，與後續的執行及網路活動串連起來。

封鎖並監控相關基礎設施

封鎖 gitnow[.]dev，並回溯調查過去是否曾連線至該網域。不過，網域封鎖不應單獨使用，還要搭配行為監控，因為攻擊者可能更換其控制的基礎設施。

給使用者的判斷原則很簡單

真正的 CAPTCHA 可能要求使用者勾選核取方塊，或完成瀏覽器內的互動驗證；它不會要求使用者開啟終端機、貼上未知指令，或執行 PowerShell。這個指示就是 TerminalFix 最明顯的社交工程警訊。 1 3

對組織而言，使用者教育應直接點出要避免的行為：不要因為網頁聲稱要通過 CAPTCHA、修復瀏覽器問題或完成驗證，就複製並執行網頁提供的指令。如果已經照做，最安全的處理方式是立即通報，並停止使用該裝置，直到完成安全評估。

TerminalFix 是 Microsoft 追蹤的一種 ClickFix 攻擊活動。它把看似普通的「驗證你不是機器人」步驟，換成危險指示：開啟 Windows Terminal 或 PowerShell，貼上一段指令並執行。Microsoft 於 2026 年 8 月 28 日說明，這個變種利用遭入侵的網站與仿冒 Cloudflare CAPTCHA，發動多階段入侵。 3

這並非單純下載一次惡意軟體就結束。據報導，攻擊最後會部署能提供網路層級代理存取的反向通道植入程式，讓操作者可能透過受感染的 Windows 主機接觸受害組織的內部系統與服務。 3 15

TerminalFix 的攻擊流程

1. 正常網站被用作投遞入口

攻擊者先入侵原本合法的網站，接著在頁面上加蓋仿冒 Cloudflare Turnstile 的 CAPTCHA 視窗。畫面看起來像一般的「驗證你是人類」檢查，卻要求訪客把指令複製、貼到 Windows Terminal 或 PowerShell 中執行。 3 29

這正是 TerminalFix 與傳統 ClickFix 的關鍵差異。過去的 ClickFix 活動常引導受害者開啟 Windows「執行」對話方塊；TerminalFix 則改要求使用 Windows Terminal 或 PowerShell，讓較複雜、甚至多行的指令碼更容易成功執行。 1 3

2. PowerShell 下載 DLL 側載元件

使用者貼上的 PowerShell 指令鏈會下載一個 ZIP 壓縮檔，內含兩個重要檔案：

• 合法簽署的 LockScreenContentServer.exe
• 惡意的 dui70.dll

啟動已簽署的執行檔後，程式會透過 DLL 側載載入攻擊者控制的 DLL。利用具合法簽章的執行檔，有助於讓這段流程看起來不像直接執行未知二進位檔那麼可疑。不過，目前提供的報導只列出檔名，並未證實該合法執行檔遭修改，也沒有提供確切雜湊值。 29

3. 以 PNG 圖片隱藏後續載荷

攻擊活動使用隱寫術，把後續元件藏進 PNG 圖片。這些檔案會在本機被讀取與解碼，讓攻擊者可以取得更多程式碼，而不必把每個階段都以明顯的可執行檔形式下載到電腦上。 10 29

4. 建立持久化並進行偵察

據報導，TerminalFix 同時透過 Registry Run 項目與排程工作建立持久化機制。此外，攻擊者還會進行主機與 Active Directory 偵察，之後才部署反向通道，因此風險不只侷限於最初遭感染的端點。 4 29

對防禦團隊而言，這個組合尤其值得注意：使用者一旦執行了假 CAPTCHA 提供的指令，受感染的可能不只是單獨一台工作站。該主機可能進一步成為內部資產探索與網路存取的跳板。

5. Python 植入程式建立反向通道

活動會透過 pythonw.exe 執行以 Python 為基礎的反向通道元件。該元件使用 TLS 與 WebSocket，經 TCP 443 連線至 gitnow[.]dev，再轉送類 SOCKS5 的 TCP 流量。實際效果是，受感染電腦可能充當操作者與受害者內部網路資源之間的代理。 3 10

因此，Microsoft 將這個植入程式描述為可提供網路層級代理存取，意義比一般資訊竊取程式警報更嚴重：攻擊者的目標可能不只是收集第一台主機上的資料，也包括取得內部網路的可達性。 3 15

可調查的入侵指標

目前提供的資料沒有完整的 Microsoft IOC 表、檔案雜湊、所有指令內容或每個持久化項目的名稱。以下項目應視為威脅狩獵線索，不能取代 Microsoft 原始偵測規則。

網路活動

• DNS、Proxy、防火牆，以及 TLS 或 WebSocket 連線至 gitnow[.]dev
• 使用者工作站發起的不尋常對外 TCP/443 流量
• 緊接在可疑瀏覽器工作階段或 PowerShell 執行後出現的連線

程序與檔案

• 從非預期目錄執行的 pythonw.exe
• 由 PowerShell、Windows Terminal 或 LockScreenContentServer.exe 啟動的 pythonw.exe
• 與 dui70.dll 位於同一目錄的 LockScreenContentServer.exe
• 下載到使用者設定檔或暫存目錄的 ZIP 壓縮檔
• 被 PowerShell 或 Python 讀取、解碼的 PNG 檔案
• 從使用者可寫入路徑啟動的 Python 腳本、直譯器或內嵌執行環境

持久化機制

• 新增或不熟悉的 Registry Run 項目
• 會啟動 PowerShell、Python、pythonw.exe，或執行 %AppData%、%LocalAppData%、%Temp%、Downloads 等使用者可寫入路徑檔案的排程工作

命令列行為

• 使用者造訪網站後，隨即出現互動式 PowerShell 或 Windows Terminal 活動
• 下載、解碼、執行串接在一起的指令流程
• 經編碼或高度混淆的 PowerShell
• 在聲稱是 CAPTCHA 或驗證步驟期間，將網頁提供的指令貼入終端機

懷疑遭入侵後應採取的措施

先隔離，再保存證據

依照組織的事件應變流程，先讓疑似受感染主機與網路隔離，同時保存端點、瀏覽器、程序與網路相關證據。調查範圍不應只停留在「下載了不受歡迎的檔案」，還要涵蓋該主機、使用者帳戶與對外連線。

釐清是否已接觸內部系統

在端點、DNS、Proxy、防火牆、身分識別與遠端存取紀錄中搜尋上述指標。另應檢查 Active Directory 與網域控制站遙測資料，留意偵察行為、可疑的帳戶或群組查詢，以及橫向移動跡象。由於反向通道具備內部網路存取能力，評估攻擊者可能到達哪些資源尤其重要。 4 29

輪替可能外洩的憑證

重設受影響使用者的憑證，並撤銷現有工作階段或權杖。若受感染主機曾使用過特權、服務或系統管理員帳戶，應優先處理這些帳戶，尤其是主機能連線至敏感系統的情況。

限制高風險執行路徑

在可行的情況下，將 PowerShell 與 Windows Terminal 限制給核准的系統管理或開發人員群組使用。落實最小權限與應用程式控管，並針對未核准的 Python 直譯器，或從使用者可寫入目錄執行程式的行為建立告警。

補強遙測能力

在適當情況下啟用 PowerShell Script Block Logging、模組記錄與轉錄功能。確保端點監控能掌握程序建立、排程工作變更、Registry 持久化、DNS 查詢與對外 TLS 連線。這些訊號有助於把最初的瀏覽器誘餌，與後續的執行及網路活動串連起來。

封鎖並監控相關基礎設施

封鎖 gitnow[.]dev，並回溯調查過去是否曾連線至該網域。不過，網域封鎖不應單獨使用，還要搭配行為監控，因為攻擊者可能更換其控制的基礎設施。

給使用者的判斷原則很簡單

真正的 CAPTCHA 可能要求使用者勾選核取方塊，或完成瀏覽器內的互動驗證；它不會要求使用者開啟終端機、貼上未知指令，或執行 PowerShell。這個指示就是 TerminalFix 最明顯的社交工程警訊。 1 3

對組織而言，使用者教育應直接點出要避免的行為：不要因為網頁聲稱要通過 CAPTCHA、修復瀏覽器問題或完成驗證，就複製並執行網頁提供的指令。如果已經照做，最安全的處理方式是立即通報，並停止使用該裝置，直到完成安全評估。