TerminalFix: Gefälschte Cloudflare-CAPTCHAs nutzen jetzt Windows Terminal für die Installation einer Reverse-Tunnel-Backdoor

Microsoft hat eine neue Variante der ClickFix-Familie namens TerminalFix dokumentiert, die den Betrug vom klassischen Windows-Ausführen-Dialog auf Windows Terminal oder PowerShell verlagert. Die am 28. August 2026 veröffentlichte Analyse der Forscher Sagar Patil, Suriyaraj Natarajan und Parasharan Raghavan beschreibt eine mehrstufige Kampagne, die von kompromittierten Websites ausgeht und eine Backdoor mit Reverse-Tunnel-Funktion in das interne Netz der betroffenen Organisationen einschleust. Die Bedrohung wird für Unternehmensumgebungen als ernst eingestuft.

Der Trick verlagert sich vom Ausführen-Dialog auf Windows Terminal

Die Kampagne TerminalFix trifft Organisationen aus mehreren Branchen über kompromittierte Websites, die gefälschte Cloudflare-CAPTCHAs anzeigen. Der Besucher wird dazu verleitet, einen PowerShell-Befehl zu kopieren und einzufügen, in dem Glauben, eine Anti-Bot-Prüfung abschließen zu müssen. ClickFix ist eine Angriffsfamilie, die auf Nutzertäuschung basiert: Das Opfer sieht eine Meldung, die es zu einer manuellen Aktion auffordert – in der Regel das Einfügen eines Befehls –, um ein vermeintliches Problem zu beheben.

Der Unterschied zum herkömmlichen ClickFix liegt in der Ausführungsumgebung: nicht mehr der Ausführen-Dialog (Win+R), sondern Windows Terminal oder PowerShell. Laut Microsoft erhöht diese Änderung die Wahrscheinlichkeit, dass komplexe, mehrzeilige Skripte korrekt ausgeführt werden, und umgeht so die Einschränkungen des Ausführen-Dialogs. Es wurden keine spezifischen betroffenen Windows-Versionen genannt: Der Vektor nutzt Standardkomponenten des Betriebssystems und erfordert keine Produkt-Schwachstellen.

Die Infektionskette: Vom eingefügten Befehl zum DLL-Sideloading

Der von der Zielperson ausgeführte PowerShell-Befehl lädt ein ZIP-Archiv mit zwei Dateien herunter: LockScreenContentServer.exe, eine legitime Binärdatei, und dui70.dll, eine schädliche Bibliothek. Beim Start der ausführbaren Datei lädt das System die bösartige DLL über DLL-Sideloading aus demselben Pfad. Dadurch wird der Schadcode im Kontext einer scheinbar legitimen Anwendung ausgeführt und umgeht viele Sicherheitskontrollen.

Die Bibliothek ruft anschließend die nächsten Payloads ab, die in PNG-Bildern auf den Domains bestsocialmedianewspapper[.]com oder offlineupdater[.]com versteckt sind. Die Persistenz wird über Run-Schlüssel in der Registrierung und geplante Aufgaben sichergestellt, sodass die Malware Neustarts übersteht.

Active-Directory-Erkundung und Reverse-Tunnel zu gitnow[.]dev

Nach der Installation führt die Malware eine gründliche Erkundung von Active Directory durch. Sie sammelt Systemmetadaten, identifiziert Domänenvertrauensstellungen, zählt Domänen-Admins auf, sucht nach AD-Benutzern und -Computern und verwendet Ping auf bekannte Server, um die interne Netzwerktopologie zu kartieren. Ziel ist es, wertvolle Ziele und Wege für laterale Bewegungen zu identifizieren.

Anschließend wird client.py verteilt, eine Python-Backdoor mit Reverse-Tunnel-Funktion. Die Komponente leitet beliebigen TCP-Verkehr über einen verschlüsselten WebSocket-Kanal zu gitnow[.]dev auf Port 443. Praktisch fungiert der kompromittierte Rechner als Proxy: Der Command-and-Control-Server kann jeden Host erreichen, der aus dem Netzwerk des Opfers sichtbar ist, auch wenn er nicht aus dem Internet erreichbar ist. Der Reverse-Tunnel ermöglicht es dem Angreifer, Perimeter-Kontrollen zu umgehen und interne Dienste zu erreichen, die von außen normalerweise nicht zugänglich sind.

Zusätzlich wird eine PowerShell-Dateiüberwachungsschleife installiert, die eine Textdatei überwacht, neue Befehle über Invoke-Expression ausführt und die Ergebnisse in eine Ausgabedatei schreibt. So entsteht ein dauerhafter Kanal für die Fernausführung.

Warum TerminalFix besonders gefährlich ist

Es handelt sich nicht um eine Produkt-Schwachstelle mit einer CVE-Kennung oder einem CVSS-Score. Daher erscheint die Kampagne nicht im KEV-Katalog der CISA, der aktiv ausgenutzte Schwachstellen auflistet. Stattdessen ist es eine Kette aus Social Engineering, Codeausführung und Proxy-Zugriff auf Netzwerkebene.

Microsoft hält sie für besonders gefährlich, weil der Reverse-Tunnel dem Angreifer direkten Zugriff auf das interne Netz der Organisation verschafft. Von dort aus kann er versuchen, Berechtigungen zu erweitern, Sicherheitskontrollen zu deaktivieren, vertrauliche Daten zu exfiltrieren oder Ransomware zu verteilen. Da es keinen Software-Patch gibt, hängt der Schutz vollständig von der Reduzierung der Angriffsfläche und der Überwachung der Indikatoren ab.

Kompromittierungsindikatoren

Netzwerkverteidiger können nach folgenden Indikatoren suchen:

• Domains: bestsocialmedianewspapper[.]com, offlineupdater[.]com, gitnow[.]dev (Port 443)
• Dateien: LockScreenContentServer.exe, dui70.dll, client.py
• Techniken: DLL-Sideloading, in PNG-Bildern versteckte Payloads, Ausführung über Invoke-Expression, verschlüsselter WebSocket zu gitnow[.]dev:443

Netzwerkverkehr zu den genannten Domains, Prozesse, die dui70.dll aus nicht standardmäßigen Pfaden laden, oder PowerShell-Befehle mit Invoke-Expression sollten eine sofortige Untersuchung auslösen.

So schützen Sie sich

Es gibt keine Patches, da keine einzelne Schwachstelle zu beheben ist. Die empfohlenen Gegenmaßnahmen betreffen Konfiguration und Überwachung:

• Schränken Sie die Ausführung von PowerShell und des Ausführen-Dialogs für Standardbenutzer über AppLocker, Windows Application Control oder Gruppenrichtlinien ein.
• Prüfen Sie, ob der Ausführen-Dialog (Win+R) blockiert oder überwacht werden sollte, wenn er für die tägliche Arbeit nicht erforderlich ist.
• Überwachen Sie Indikatoren für DLL-Sideloading, insbesondere das Laden von dui70.dll aus nicht standardmäßigen Verzeichnissen.
• Schulen Sie Mitarbeiter darin, ClickFix-Angriffe zu erkennen: Kein legitimes CAPTCHA fordert dazu auf, ein Terminal zu öffnen und Befehle einzufügen.
• Aktivieren Sie PowerShell Script Block Logging, um verschleierte oder codierte Befehle zu erkennen und zu analysieren.

Diese Maßnahmen verringern die Angriffsfläche und verbessern die Fähigkeit, eine laufende Infektion zu erkennen. TerminalFix zeigt, dass Angreifer ihre Social-Engineering-Techniken weiter verfeinern und den Betrug auf Tools verlagern, die Unternehmensnutzer täglich verwenden.