TerminalFix é uma nova evolução da técnica de engenharia social ClickFix que transforma uma falsa verificação de segurança em uma porta de entrada para redes corporativas. Em vez de apenas induzir a vítima a baixar um malware, a campanha analisada pela Microsoft utiliza um CAPTCHA falso, manipula a área de transferência e convence o usuário a executar um comando malicioso no Windows Terminal ou PowerShell.
O resultado é uma cadeia de infecção em múltiplas etapas que combina DLL side-loading, esteganografia em imagens PNG, persistência no Windows, reconhecimento do Active Directory e, na etapa mais crítica, um túnel reverso capaz de transformar o computador comprometido em um ponto de acesso à rede interna. A Microsoft afirma que observou a campanha em organizações de diferentes setores, mas não constatou as ações posteriores de exploração manual que poderiam ocorrer após o estabelecimento do acesso.
O que é o TerminalFix e como funciona a engenharia social do falso CAPTCHA
O TerminalFix é uma variante do ClickFix, técnica na qual o criminoso explora uma reação bastante comum: o usuário encontra um problema aparente em uma página e segue instruções para corrigi-lo.
Nas campanhas tradicionais, a vítima pode ser orientada a abrir a caixa Executar, pressionando Win + R, e colar um comando. O TerminalFix muda uma parte importante desse processo: direciona o usuário para o Windows Terminal ou PowerShell, ambientes capazes de processar comandos e scripts muito mais complexos, inclusive aqueles com múltiplas linhas.
O ataque começa em um site comprometido. Sobre o conteúdo legítimo da página, os invasores exibem uma interface que imita o Cloudflare Turnstile, incluindo elementos visuais destinados a transmitir autenticidade.
O objetivo é fazer com que a vítima acredite estar realizando uma simples verificação para provar que é humana. Porém, depois da interação, um comando malicioso é colocado silenciosamente na área de transferência.
A página então orienta o usuário a abrir o Terminal ou PowerShell, colar o conteúdo e pressionar Enter. Esse detalhe é fundamental: o navegador não precisa executar diretamente o código. O próprio usuário fornece a autorização prática para iniciar a cadeia de ataque.
Imagem: Microsoft
A tática do falso Cloudflare e a execução no Terminal
O comando PowerShell foi construído para parecer parte do procedimento de verificação. Durante a execução, mensagens com aparência legítima relacionadas ao Cloudflare são apresentadas no terminal, criando uma falsa sensação de que o processo está funcionando normalmente.
Nos bastidores, entretanto, o PowerShell baixa um arquivo ZIP, extrai seu conteúdo em um diretório dentro de C:\ProgramData e inicia um arquivo em lote. Esse arquivo executa silenciosamente o componente responsável pela próxima fase da infecção.
A estratégia é particularmente perigosa porque explora a confiança do usuário em ferramentas administrativas legítimas. PowerShell e Windows Terminal não são vulnerabilidades por si mesmos. O problema está em induzir uma pessoa a executar código que ela não compreende.
Essa mudança de comportamento também dificulta treinamentos tradicionais baseados apenas em “não baixe arquivos desconhecidos”. Nesse caso, o arquivo pode sequer ser o elemento que chama a atenção da vítima: o usuário acredita estar apenas concluindo um CAPTCHA.
DLL side-loading e primeira etapa da infecção
O ZIP utilizado pela campanha contém o executável legítimo LockScreenContentServer.exe e uma DLL maliciosa chamada dui70.dll.
O primeiro arquivo possui assinatura legítima e uma dependência da biblioteca com o mesmo nome. Os invasores aproveitam essa relação para realizar DLL side-loading.
Quando o executável é iniciado a partir de um diretório controlado pelo atacante, o carregador do Windows pode procurar a DLL necessária naquele local antes de recorrer às versões legítimas existentes em diretórios do sistema. Dessa maneira, o processo confiável acaba carregando o componente malicioso.
Essa técnica permite que o malware se esconda atrás da reputação de um executável assinado e legítimo, reduzindo a eficácia de controles que consideram apenas a identidade do processo.
A dui70.dll ainda contém uma carga adicional fortemente ofuscada em sua seção de recursos. Após ser carregada, ela decodifica o conteúdo em memória e inicia a próxima etapa da infecção.
Esteganografia em imagens PNG e ocultação da carga útil
A segunda etapa mostra uma preocupação clara dos operadores com evasão de detecção.
Em vez de simplesmente baixar arquivos executáveis tradicionais, o malware utiliza esteganografia para esconder dados dentro de imagens PNG aparentemente comuns.
Segundo a Microsoft, um script PowerShell baixa três imagens a partir da infraestrutura controlada pelos invasores. Os dados maliciosos ficam escondidos nos valores dos canais RGBA dos pixels. Os primeiros bytes indicam o tamanho da carga, enquanto os dados seguintes contêm o conteúdo binário oculto.
A divisão da carga também aumenta a dificuldade de análise. O executável é extraído de uma imagem, enquanto uma DLL é dividida entre a segunda e a terceira imagens. Depois, os fragmentos são reunidos novamente no computador comprometido.
Esse método apresenta uma vantagem importante para o atacante: durante o tráfego de rede, os arquivos aparentam ser imagens PNG, e não executáveis ou bibliotecas Windows.
Depois da extração, as imagens utilizadas como contêiner são removidas, reduzindo os vestígios disponíveis para uma investigação forense superficial.
A campanha também utiliza mecanismos de persistência, incluindo chaves Run do Registro e tarefas agendadas. Uma tarefa é configurada para executar o componente malicioso periodicamente, enquanto o diretório utilizado pelos arquivos pode receber atributos de ocultação do Windows.
Criação do túnel reverso e movimentação lateral no Active Directory
Depois de estabelecer persistência, o TerminalFix passa a avaliar o ambiente comprometido.
A campanha realiza reconhecimento do domínio, incluindo descoberta de relações de confiança, identificação de membros do grupo de administradores de domínio, enumeração de usuários e computadores do Active Directory e sondagem de servidores específicos.
Entre os sistemas procurados estão equipamentos que podem representar ativos estratégicos, como controladores de domínio, bancos de dados, servidores de backup, gateways e servidores de e-mail.
Esse comportamento muda completamente o nível de risco. O objetivo deixa de ser simplesmente comprometer uma estação e passa a ser entender o que existe atrás dela.
A etapa final utiliza um runtime Python legítimo acompanhado de um componente malicioso denominado client.py. O código estabelece uma conexão de saída com a infraestrutura dos atacantes por meio de TLS na porta 443, atualiza a conexão para WebSocket e utiliza o canal criptografado para transportar conexões TCP.
O endereço identificado pela Microsoft é gitnow[.]dev:443.
Como o endpoint infectado se torna um ponto de pivô
O componente funciona, na prática, como um proxy com características de SOCKS5. Isso permite que o operador instrua o implante a estabelecer conexões com hosts e portas acessíveis a partir do computador infectado.
É justamente aqui que está uma das características mais preocupantes do ataque TerminalFix.
Imagine uma estação de trabalho que possui acesso legítimo a servidores que não são diretamente acessíveis pela internet. Ao transformar essa estação em um ponto de pivô, o invasor pode utilizar a máquina comprometida como ponte para alcançar recursos internos.
A conexão de saída também ajuda a esconder o sentido real do tráfego. Em vez de depender de uma conexão de entrada facilmente identificável, o malware estabelece uma comunicação externa criptografada e utiliza esse canal para transportar o tráfego solicitado pelo operador.
A Microsoft ressalta que essa capacidade poderia permitir acesso a sistemas adicionais e facilitar etapas posteriores, como elevação de privilégios, roubo de credenciais, exfiltração de dados, desativação de controles de segurança e implantação de ransomware. Essas ações posteriores, entretanto, não foram observadas diretamente pela Microsoft na cadeia analisada.
Para administradores de redes, portanto, encontrar esse tipo de comprometimento deve ser tratado como algo potencialmente maior que uma simples infecção de endpoint. O computador afetado pode ter se transformado em uma porta para a infraestrutura interna.
Medidas de prevenção e resposta a incidentes do TerminalFix
A defesa contra o TerminalFix começa pela redução da capacidade de usuários comuns executarem comandos administrativos sem necessidade.
A Microsoft recomenda restringir a execução do PowerShell e do diálogo Executar quando essas ferramentas não forem necessárias para a rotina dos usuários. Recursos como AppLocker, políticas de grupo e mecanismos de controle de aplicações podem ajudar nessa tarefa.
Também é importante habilitar PowerShell Script Block Logging, utilizar Constrained Language Mode quando aplicável e avaliar políticas como AllSigned ou RemoteSigned dentro da estratégia de segurança da organização.
O Windows Terminal também merece atenção. Ambientes corporativos podem configurar avisos para colagens contendo múltiplas linhas, adicionando uma camada extra de fricção contra ataques baseados em clipboard.
No endpoint, equipes de segurança devem monitorar especialmente:
- LockScreenContentServer.exe sendo executado fora de seu caminho legítimo;
- carregamento inesperado de dui70.dll;
- criação suspeita de Run Keys e tarefas agendadas;
- execução incomum de PowerShell;
- utilização de
python.exeoupythonw.exepara iniciar scripts desconhecidos; - conexões WebSocket/TLS anômalas para destinos externos;
- consultas incomuns ao Active Directory;
- downloads de imagens PNG seguidos por extração de conteúdo binário.
A própria Microsoft fornece indicadores e consultas de Advanced Hunting para identificar execução do LockScreenContentServer.exe em caminhos não padrão, o carregamento da DLL, a execução do implante Python e conexões com a infraestrutura associada à campanha.
A conscientização dos usuários continua sendo uma das principais barreiras. Nenhum CAPTCHA legítimo deveria exigir que o visitante abra o PowerShell ou cole comandos no Terminal para provar que é humano.
Se houver suspeita de comprometimento, o endpoint deve ser isolado da rede e investigado como possível ponto de pivô. A Microsoft recomenda ainda avaliar a exposição de credenciais e priorizar a rotação de credenciais administrativas, especialmente quando a máquina comprometida estava integrada ao domínio.
O TerminalFix mostra como a engenharia social está evoluindo: o invasor não precisa necessariamente explorar uma vulnerabilidade no navegador ou convencer o usuário a instalar um programa desconhecido. Basta fazê-lo acreditar que está seguindo uma instrução legítima.
Para equipes de TI, o alerta reforça uma regra simples: CAPTCHA, verificação de identidade ou mensagem de erro que peça para executar comandos no PowerShell deve ser tratado como um sinal de comprometimento potencial.
Compartilhe este alerta com sua equipe de segurança, administradores de sistemas e usuários da organização. Acompanhe também o SempreUpdate para mais análises sobre novas técnicas de ataque, malware, defesa de endpoints e segurança de redes corporativas.
