TerminalFix evolve ClickFix: falso CAPTCHA apre un reverse tunnel nella rete aziendale

🛡️ Executive Summary

• TerminalFix imita Cloudflare e convince la vittima a incollare in Windows Terminal un comando PowerShell che avvia l’intera compromissione.
• La catena usa DLL sideloading, payload nascosti in PNG, doppia persistenza e ricognizione approfondita dell’ambiente Active Directory.
• Un impianto Python apre infine un reverse tunnel WebSocket che trasforma l’endpoint compromesso in un proxy verso l’intera rete interna.

Microsoft Threat Intelligence documenta una nuova evoluzione di ClickFix capace di trasformare un falso CAPTCHA in un punto di accesso persistente alla rete aziendale. La campagna, denominata TerminalFix, abbandona il tradizionale invito ad aprire la finestra Esegui di Windows e convince invece la vittima a incollare un comando direttamente in Windows Terminal o PowerShell, aumentando l’affidabilità nell’esecuzione di script complessi e multilinea. Da quel momento parte una catena che combina DLL sideloading, steganografia, persistence, ricognizione Active Directory e un reverse tunnel Python su WebSocket. È un salto rispetto alle campagne ClickFix che sfruttano falsi CAPTCHA Cloudflare e perfino mirror npm come infrastruttura fidata: l’obiettivo non è più soltanto installare un infostealer, ma ottenere accesso di rete attraverso la macchina compromessa.

TerminalFix sposta ClickFix da Esegui a Windows Terminal

Secondo l’analisi tecnica pubblicata da Microsoft Security Research, l’attacco comincia quando l’utente visita un sito web compromesso che sostituisce temporaneamente la pagina originale con una falsa verifica Cloudflare Turnstile. L’interfaccia riproduce logo, checkbox “Verify you are human” e animazione di caricamento; quando la vittima interagisce, il sito copia silenziosamente negli appunti un comando PowerShell e la invita ad aprire Windows Terminal o PowerShell per incollarlo.

Il comando stampa anche falsi messaggi di avanzamento e una conferma finale “I am not a robot”, facendo apparire l’esecuzione come parte del controllo Cloudflare. La tecnica conserva quindi il principio psicologico di ClickFix — convincere la vittima a diventare il meccanismo di esecuzione del malware — ma lo raffina per supportare una catena molto più articolata rispetto alle operazioni ClickFix usate da attori nordcoreani, iraniani e russi per distribuire payload attraverso istruzioni apparentemente legittime.

Il comando scarica uno ZIP e usa un binario Microsoft firmato per il DLL sideloading

Una volta eseguito, PowerShell scarica un archivio ZIP dall’infrastruttura degli attaccanti, lo estrae sotto C:\ProgramData e avvia silenziosamente un batch file. All’interno si trovano LockScreenContentServer.exe, eseguibile Microsoft legittimo e firmato, e una libreria malevola chiamata dui70.dll. Il programma autentico possiede una dipendenza dalla DLL DirectUI Engine e, quando viene avviato dalla directory controllata dagli attaccanti, Windows carica la copia malevola posizionata accanto all’eseguibile invece della libreria legittima.

TerminalFix ottiene così esecuzione dentro un processo considerato affidabile, sfruttando l’ordine di ricerca delle librerie per ridurre la visibilità ai controlli basati esclusivamente su firma e reputazione. Il meccanismo è analogo a quello osservato nella campagna AsyncRAT che utilizzava installer falsi, applicazioni firmate e DLL sideloading per stabilire l’accesso remoto, ma qui rappresenta soltanto il primo stadio dell’intrusione.

Leggi anche: Sleepwalker usa un processo ESET e il DLL sideloading per nascondere una backdoor attivata da magic packet

Tre immagini PNG nascondono eseguibili e frammenti della DLL

La dui70.dll avvia una seconda fase PowerShell che recupera tre immagini PNG da domini controllati dagli operatori. Le immagini sono realmente interpretabili come file grafici, ma nei valori dei pixel vengono nascosti dati binari attraverso steganografia. Lo script legge i canali RGBA, utilizza i primi otto byte per determinare la lunghezza del payload e ricostruisce successivamente i file sul disco. La prima immagine contiene un eseguibile, mentre le altre due ospitano differenti metà di una DLL che vengono concatenate soltanto dopo il download. La separazione rende più difficile individuare in transito una firma riconducibile a un normale Portable Executable e, completata l’estrazione, le immagini vengono eliminate per ridurre gli artefatti forensi. La tecnica amplia un modello di evasione già visibile nelle campagne APT che combinano esecuzione in memoria, componenti firmati e payload frammentati per ridurre l’efficacia dell’analisi statica, aggiungendo alla catena una vera fase di occultamento del payload dentro contenuti apparentemente innocui.

TerminalFix crea due livelli di persistenza e si riattiva ogni ora

Dopo il deployment, TerminalFix non si affida a un solo meccanismo per sopravvivere ai riavvii. La campagna crea sia una voce nella chiave Registry Run dell’utente sia un Scheduled Task che riavvia LockScreenContentServer.exe ogni 60 minuti. Entrambi utilizzano una denominazione costruita per ricordare componenti legittimi della schermata di blocco di Windows, mentre la cartella del malware viene marcata con attributi system e hidden. La ridondanza serve a mantenere l’impianto operativo anche se uno dei due metodi viene identificato o rimosso. Lo stesso approccio compare nelle operazioni di Mustang Panda, dove DLL sideloading, task pianificati e componenti Windows apparentemente legittimi vengono sovrapposti per garantire persistence ed evasione. La differenza è che TerminalFix usa questa persistence non soltanto per mantenere un malware sull’endpoint, ma per preparare una piattaforma stabile da cui esplorare successivamente il dominio aziendale.

Active Directory viene mappata prima di aprire il tunnel

Una volta ottenuta persistenza, la catena avvia una ricognizione approfondita dell’ambiente Windows. Microsoft ha osservato enumerazione dei domain trust, ricerca dei membri del gruppo Domain Admins, interrogazioni di utenti e computer Active Directory e raccolta delle descrizioni associate agli account. Il malware individua inoltre sistemi con ruoli tipici come domain controller, database server, server di backup, gateway e mail server, effettuando ping mirati per verificare quali siano raggiungibili dalla macchina infetta. Il codice include varianti per sistemi configurati in inglese, spagnolo e tedesco, suggerendo un interesse per ambienti geograficamente differenti. La strategia ricorda UAT-8302, che combina strumenti di scanning, enumerazione Active Directory e proxy per trasformare il primo endpoint compromesso in un punto di partenza per il movimento laterale. Nel caso TerminalFix, però, questa mappa viene costruita prima dell’installazione del componente più pericoloso della catena: il reverse tunnel.

Un file-watch PowerShell crea una shell asincrona locale

Prima ancora del tunnel completo, gli operatori installano un meccanismo semplice ma efficace di command execution asincrona. Uno script PowerShell monitora continuamente un file di testo; quando il contenuto cambia, lo esegue attraverso Invoke-Expression e scrive il risultato in un secondo file. L’operatore può quindi impartire comandi modificando il file monitorato e recuperare successivamente l’output attraverso gli altri canali disponibili. Non si tratta di un C2 sofisticato, ma proprio la semplicità riduce dipendenze e indicatori evidenti: shell e filesystem diventano una primitiva infrastruttura di comando. Tecniche analoghe dimostrano quanto gli attaccanti preferiscano sempre più living-off-the-land e interpreti già disponibili rispetto a malware monolitici facilmente classificabili, come osservato nelle campagne Lazarus che combinano PowerShell, DLL sideloading e servizi Microsoft per mantenere gran parte dell’esecuzione fuori dai normali percorsi malware. TerminalFix aggiunge poi un runtime completamente separato per creare l’accesso di rete permanente.

Python 3.14.5 trasforma il computer compromesso in un proxy interno

La fase conclusiva installa un runtime Python 3.14.5 embeddable originale, scaricato direttamente dalla distribuzione ufficiale Python, e un file malevolo client.py. Il codice viene lanciato attraverso pythonw.exe, quindi senza finestra visibile, e stabilisce una connessione outbound cifrata verso il server C2 sulla porta 443. La sessione viene trasformata in un WebSocket TLS capace di trasportare connessioni TCP arbitrarie con una logica simile a un proxy SOCKS. L’impianto supporta IPv4, IPv6 e hostname, multiplexa più stream sullo stesso WebSocket, ruota User-Agent simili a browser reali e può essere terminato da remoto. Una volta installato, il computer non è più soltanto una vittima: diventa un pivot attraverso cui gli attaccanti possono raggiungere qualsiasi host e porta visibili dalla rete interna. Una capacità quasi sovrapponibile è stata osservata in SynkLoader, dove un runtime Python e un tunnel trasformavano una compromissione iniziale via Teams in accesso ai sistemi interni dell’azienda.

Microsoft non ha osservato ransomware ma avverte sul rischio post-compromissione

Microsoft precisa un punto importante: nell’attività analizzata non sono state osservate le azioni downstream che normalmente potrebbero seguire una compromissione di questo livello. Non è quindi corretto affermare che TerminalFix abbia già distribuito ransomware, esfiltrato dati o effettuato movimento laterale nei sistemi studiati. La combinazione tra ricognizione Active Directory e proxy TCP offre però agli operatori esattamente le capacità necessarie per una fase hands-on-keyboard successiva. Microsoft invita quindi a considerare ogni dispositivo compromesso come un possibile network pivot, verificando anche esposizione delle credenziali e attività laterali. Questo passaggio è particolarmente rilevante perché Black Basta e Cactus hanno già utilizzato strumenti BackConnect per mantenere un accesso interattivo e muoversi dentro le reti prima della fase estorsiva. TerminalFix dimostra come una semplice falsa verifica web possa arrivare fino allo stesso livello di accesso senza sfruttare una vulnerabilità software iniziale.

La difesa deve cercare comportamenti e non soltanto gli IOC

Microsoft raccomanda di limitare PowerShell dove non necessario, utilizzare Application Control o AppLocker, abilitare Script Block Logging e valutare Constrained Language Mode. Sul fronte del threat hunting, un segnale particolarmente forte è l’esecuzione di LockScreenContentServer.exe da percorsi differenti da quelli standard di Windows associata al caricamento di dui70.dll. Devono essere controllati anche task pianificati sospetti, chiavi Run, enumerazioni LDAP anomale e traffico WebSocket verso infrastrutture non previste. La necessità di concentrarsi sul comportamento anziché su singoli hash o domini è già evidente nelle campagne SilkParasite, dove applicazioni firmate, DLL sideloading e servizi legittimi rendono fragile una difesa costruita soltanto sulla reputazione degli indicatori. Gli IOC pubblicati da Microsoft restano preziosi per individuare la campagna corrente, ma l’infrastruttura può essere ruotata molto più rapidamente delle tecniche operative.

Continua con:

• ClickFix sfrutta npm come hosting fidato per diffondere falsi CAPTCHA Cloudflare
• SynkLoader usa Teams, PowerShell e reverse tunnel per trasformare l’endpoint in un accesso alla rete aziendale

TerminalFix trasforma l’ingegneria sociale in accesso di rete

La caratteristica più significativa di TerminalFix è la distanza tra la semplicità dell’accesso iniziale e la profondità raggiunta nella fase finale. Non servono zero-day, allegati complessi o macro: l’attaccante deve soltanto convincere un utente a incollare un comando durante una falsa verifica Cloudflare. Da quel singolo gesto nascono sideloading, steganografia, persistenza, mappatura Active Directory e infine un canale TCP cifrato che può attraversare la rete dal suo interno. La progressione conferma quanto già emerso nelle campagne A0Backdoor, dove social engineering, software Microsoft e DLL sideloading vengono concatenati per superare controlli apparentemente indipendenti. TerminalFix rappresenta quindi un’evoluzione strutturale di ClickFix: non più soltanto un metodo per consegnare malware, ma il primo passaggio di una vera intrusione enterprise multistage.