TerminalFix é uma nova campanha de engenharia social que demonstra como um simples CAPTCHA pode se transformar em uma porta de entrada para ataques sofisticados contra computadores Windows. Em vez de explorar diretamente uma vulnerabilidade do sistema, os criminosos abusam da confiança do usuário em páginas de verificação conhecidas para induzi-lo a executar comandos maliciosos no Windows Terminal ou PowerShell.
O ataque chama atenção porque combina a técnica ClickFix, carregamento lateral de DLL, esteganografia, persistência e reconhecimento de ambientes corporativos. No estágio final observado pela Microsoft, o malware instala um componente capaz de criar um túnel reverso entre o computador comprometido e a infraestrutura dos criminosos, permitindo que a máquina seja utilizada como ponte para acessar outros sistemas da rede.
O que é a técnica TerminalFix e como funciona o golpe
A Microsoft classificou o TerminalFix como uma variante da família de ataques ClickFix. A diferença está principalmente na etapa de execução: enquanto campanhas ClickFix tradicionais costumam orientar a vítima a utilizar a caixa de diálogo Executar do Windows, o TerminalFix direciona o usuário para o Windows Terminal ou PowerShell.
A estratégia começa em um site comprometido. Ao acessar a página, a vítima encontra uma interface que imita o Cloudflare Turnstile, incluindo elementos visuais como o logotipo da Cloudflare, a caixa “Verify you are human” e uma animação de carregamento.
O problema é que aquela verificação não é legítima. O CAPTCHA falso funciona como uma ferramenta de engenharia social, criando a sensação de que existe uma etapa adicional necessária para comprovar que o visitante é humano.
Depois de interagir com a falsa verificação, a vítima recebe instruções para abrir o Terminal e colar um comando. O conteúdo é colocado no clipboard e a própria página orienta o usuário sobre como executá-lo.
É justamente nesse momento que o golpe deixa de ser apenas uma fraude visual e passa a depender da execução voluntária de código malicioso pelo usuário.
Do clique ao terminal: a indução ao PowerShell
O comando apresentado ao usuário foi construído para parecer parte do processo de validação da Cloudflare. Ao ser executado, ele exibe mensagens que simulam uma autenticação ou verificação bem-sucedida, reforçando a impressão de que o procedimento é legítimo. Por trás dessa aparência, o PowerShell realiza operações completamente diferentes. A primeira etapa baixa um arquivo ZIP da infraestrutura controlada pelos atacantes, extrai seu conteúdo em uma pasta dentro de C:\ProgramData e executa um arquivo em lote. Esse comportamento é particularmente perigoso porque a vítima não precisa baixar manualmente um programa, abrir um instalador ou desativar o antivírus. Basta seguir as instruções apresentadas pelo falso CAPTCHA.
O caso também mostra uma mudança importante no modelo de engenharia social. Em vez de tentar convencer o usuário a baixar um arquivo suspeito, o criminoso convence a própria vítima a executar uma ação aparentemente técnica.
Para equipes de segurança, isso significa que treinar usuários para reconhecer arquivos maliciosos não é mais suficiente. É necessário ensinar também que sites legítimos nunca devem solicitar que visitantes copiem comandos desconhecidos para o PowerShell ou Terminal.
A cadeia de infecção e o carregamento lateral de DLLs
Depois da execução inicial, o TerminalFix inicia uma cadeia de múltiplos estágios. O arquivo ZIP observado pela Microsoft contém o executável legítimo LockScreenContentServer.exe e uma DLL maliciosa chamada dui70.dll.
O primeiro arquivo é um componente legítimo e assinado do Windows. O problema está na forma como ele é utilizado pelos criminosos.
O executável é colocado em um diretório controlado pelo atacante, ao lado da DLL maliciosa. Quando o programa é executado a partir daquele local, o mecanismo de carregamento de bibliotecas do Windows pode resolver a dependência local antes da biblioteca legítima existente no diretório do sistema.
O resultado é um DLL sideloading: um programa legítimo e assinado acaba servindo como hospedeiro para código malicioso. Isso não significa que a assinatura da Microsoft tenha sido comprometida. O abuso ocorre porque um componente confiável é executado em um contexto preparado pelo atacante.
A etapa seguinte torna a análise ainda mais difícil. A DLL maliciosa utiliza PowerShell para baixar imagens PNG que aparentemente são arquivos gráficos comuns. Entretanto, os dados escondidos nos pixels carregam novos componentes do ataque.
Essa técnica é conhecida como esteganografia. De acordo com a análise da Microsoft, os dados escondidos nos canais RGBA das imagens são reconstruídos para formar arquivos executáveis. Uma das imagens fornece um executável, enquanto outras duas carregam partes de uma DLL que posteriormente são reunidas.
Depois da extração, as imagens utilizadas como transporte podem ser removidas, reduzindo os artefatos disponíveis para uma investigação superficial.
A campanha ainda estabelece persistência por mais de um mecanismo. Foram observadas entradas no Registro do Windows e uma tarefa agendada responsável por executar novamente o componente aproximadamente a cada 60 minutos.
Isso significa que reiniciar o computador não necessariamente elimina a ameaça.
Os riscos do túnel reverso e invasão da rede corporativa
A parte mais preocupante do TerminalFix não é apenas a instalação do malware, mas o que acontece depois que o invasor consegue executar código dentro de uma máquina corporativa.
Antes de estabelecer o túnel, a campanha realiza uma fase de reconhecimento do ambiente. O malware coleta informações do sistema e consulta elementos do Active Directory, incluindo relações de confiança de domínio, grupos administrativos, usuários e computadores. Também são realizadas verificações direcionadas para identificar servidores e outros equipamentos acessíveis pela máquina comprometida.
Esse comportamento fornece aos operadores informações valiosas para decidir os próximos passos.
O estágio final utiliza um ambiente Python e o arquivo client.py, executado por meio do pythonw.exe. O componente estabelece uma comunicação com a infraestrutura de comando e controle utilizando TLS e WebSocket na porta 443.
O objetivo é criar um túnel reverso. Em termos simples, o computador da vítima passa a funcionar como uma ponte entre o atacante e a rede interna.
Em vez de o invasor precisar estabelecer uma conexão direta com cada servidor protegido, ele pode utilizar a máquina comprometida para encaminhar tráfego para equipamentos que sejam acessíveis a partir dela. O mecanismo possui características semelhantes a um proxy SOCKS, permitindo encaminhar diferentes tipos de conexões TCP.
Esse cenário aumenta consideravelmente o impacto potencial de uma única infecção.
Uma estação de trabalho inicialmente comprometida pode se transformar em um ponto de movimentação lateral, permitindo que o atacante explore servidores, serviços internos e outros dispositivos que não estejam diretamente expostos à internet.
É importante, porém, separar capacidade técnica de impacto comprovado. A análise da Microsoft descreve as capacidades de reconhecimento e tunelamento observadas na campanha, mas não deve ser interpretada como evidência de que todos os ataques necessariamente evoluíram para ransomware ou comprometimento completo do domínio.
Ainda assim, a possibilidade é suficiente para justificar uma resposta rápida. Em ambientes corporativos, um simples endpoint comprometido pode oferecer ao invasor uma visão privilegiada da arquitetura interna.
Como proteger sistemas e conter essa ameaça
A primeira defesa contra o TerminalFix é combater justamente a etapa que inicia toda a cadeia: a execução induzida pelo usuário.
Equipes de TI devem deixar claro que nenhum CAPTCHA legítimo deve solicitar a execução de comandos PowerShell, Terminal ou Prompt de Comando. Uma página que apresenta esse tipo de instrução deve ser considerada altamente suspeita.
No ambiente corporativo, também é recomendável aplicar políticas que reduzam o abuso do PowerShell. Controles como AppLocker, políticas de grupo e mecanismos de controle de aplicações podem ajudar a limitar quem pode executar determinados binários e scripts.
O monitoramento precisa ir além do processo isolado. Uma sequência envolvendo navegador → PowerShell → download de ZIP → execução em ProgramData → carregamento de DLL incomum merece investigação.
Também é importante observar a execução de LockScreenContentServer.exe fora de seu diretório esperado, DLLs recém-criadas em diretórios graváveis pelo usuário, tarefas agendadas desconhecidas, novas entradas de inicialização automática e o uso inesperado de pythonw.exe.
No nível de rede, organizações devem monitorar conexões persistentes e incomuns de estações de trabalho para serviços externos, especialmente quando acompanhadas de processos como PowerShell ou interpretadores Python.
O Active Directory merece atenção especial. Contas privilegiadas devem utilizar autenticação forte, privilégios mínimos e segmentação adequada. Estações comuns não deveriam possuir acesso desnecessário a servidores administrativos ou segmentos críticos.
Por fim, o treinamento dos usuários precisa acompanhar a evolução dos ataques. Copiar e colar comandos encontrados em páginas da internet deixou de ser uma ação inofensiva. Campanhas como TerminalFix transformam essa ação cotidiana em um mecanismo de execução de malware.
O alerta também reforça uma regra simples: se uma verificação de segurança pede para você abrir o Terminal e executar um comando, pare imediatamente.
O TerminalFix mostra que os ataques modernos nem sempre precisam explorar uma falha técnica. Muitas vezes, basta convencer alguém de que está realizando uma tarefa legítima. Por isso, combinar conscientização, políticas de execução, monitoramento comportamental, segmentação de rede e resposta rápida é fundamental para reduzir o impacto.
Compartilhe este alerta com sua equipe de TI, administradores de sistemas e profissionais de segurança. Acompanhe o Sempre Update para mais análises sobre malware, vulnerabilidades e novas técnicas utilizadas contra ambientes Windows e redes corporativas.
