TerminalFix verwandelt gefälschte CAPTCHAs in Tunnel zu Unternehmensnetzwerken

Microsoft beobachtet eine neue Weiterentwicklung von ClickFix-Angriffen

Am 31. August 2026 wurde eine von Microsoft in freier Wildbahn beobachtete Cyberkampagne bekannt, die auf einer Variante der ClickFix-Technik namens TerminalFix basiert.

Der Angriff beginnt mit gefälschten CAPTCHA-Prüfungen auf kompromittierten Websites. Die Seite bringt das Opfer dazu, Windows Terminal zu öffnen und einen bereits in die Zwischenablage kopierten PowerShell-Befehl auszuführen. Dieser wird als notwendiger Schritt zum Abschluss der Verifizierung dargestellt.

Dabei wird keine Software-Schwachstelle ausgenutzt. Die betroffene Person startet die Angriffskette selbst, indem sie Anweisungen folgt, die wie ein gewöhnlicher Anti-Bot-Prozess aussehen. Entsprechend gibt es keine zugeordneten CVE-IDs, CVSS-Bewertungen, Sicherheitsupdates oder spezifischen betroffenen Windows-Versionen.

Die Vorgehensweise unterscheidet sich von häufigeren ClickFix-Kampagnen, die meist auf die Installation von Infostealern abzielen. In diesem Fall besteht das Hauptziel in einem Reverse-Tunnel, über den die Angreifer den kompromittierten Computer als Einstiegspunkt in das interne Netzwerk nutzen können.

Microsoft hat nach der Kompromittierung keine interaktiven Sitzungen beobachtet. Der erlangte Zugriff ist jedoch mit Aktivitäten wie Aufklärung, lateraler Bewegung, Diebstahl von Zugangsdaten, Umgehung von Schutzmaßnahmen, Datenexfiltration und der Verteilung von Ransomware vereinbar.

Vom PowerShell-Befehl zum in den Speicher geladenen Payload

Die Angriffskette beginnt, wenn das gefälschte CAPTCHA das Opfer dazu bringt, den in der Zwischenablage enthaltenen PowerShell-Befehl auszuführen. Dadurch lassen sich bestimmte Browser-Schutzmechanismen umgehen, weil die Aktion vom Benutzer direkt in einem Windows-Terminal autorisiert wird.

Der Befehl lädt ein ZIP-Archiv mit zwei Komponenten herunter:

• eine legitime, gültig digital signierte ausführbare Datei;
• eine schädliche DLL, die über diese ausführbare Datei geladen werden soll.

Der Einsatz eines signierten Programms kann das Misstrauen des Benutzers verringern und Prüfungen erschweren, die sich ausschließlich auf die Reputation der Hauptdatei stützen. Die DLL führt dagegen die schädlichen Aktionen aus: Sie entschlüsselt den verschleierten Payload und startet ihn direkt im Arbeitsspeicher.

Diese Struktur erfordert eine umfassendere Prüfung als die bloße Validierung der digitalen Signatur. Eine signierte Datei garantiert nicht, dass die gesamte Ladekette vertrauenswürdig ist – insbesondere dann nicht, wenn sich daneben unerwartete Bibliotheken in Verzeichnissen befinden, die nach einem Download erstellt wurden.

TerminalFix nutzt außerdem die größere Flexibilität von Windows Terminal und PowerShell im Vergleich zu einfachen Ausführen-Dialogen. Skripte können mehrere Anweisungen enthalten, Downloads verwalten und komplexe Komponenten wieder zusammensetzen, ohne dem Opfer die vollständige Logik des Angriffs zu zeigen.

Die verwendeten Windows-Builds sowie die genauen Versionen von Windows Terminal oder PowerShell wurden nicht veröffentlicht. Ebenso ist kein einheitlicher ursprünglicher Pfad bekannt, von dem aus die heruntergeladenen Dateien ausgeführt werden.

Drei PNG-Bilder verbergen ausführbare Dateien und DLL-Fragmente

In der zweiten Phase wird Steganografie eingesetzt, um Teile der Malware in drei PNG-Bildern zu verstecken. Die ausführbaren Dateien und DLL-Fragmente werden in die Pixeldaten eingebettet und erscheinen während der Übertragung wie gewöhnliche grafische Inhalte.

Ein Skript lädt die drei Bilder vom Command-and-Control-Server herunter, extrahiert die darin verborgenen Daten und setzt die benötigten Komponenten auf dem Datenträger wieder zusammen. Der endgültige Payload muss daher nicht als einzelne, sofort erkennbare ausführbare Datei übertragen werden.

Diese Technik fragmentiert die Angriffskette und kann Kontrollen erschweren, die jeden Download isoliert analysieren. Ein einzelnes Bild wirkt möglicherweise nicht verdächtig, wenn der anschließende Dateizugriff, die Verarbeitung der Pixeldaten sowie die Erstellung von DLLs oder ausführbaren Programmen nicht miteinander korreliert werden.

Um den Zugriff aufrechtzuerhalten, richtet die Malware zwei unterschiedliche Persistenzmechanismen ein:

• eine Windows-Aufgabe mit stündlicher Ausführung;
• einen Registry-Run-Schlüssel, der ebenfalls mit einem wiederkehrenden Start verknüpft ist.

Diese Redundanz ermöglicht es der Kompromittierung, die Entfernung eines der beiden Mechanismen zu überstehen. Für Analysten sind geplante Aufgaben und Run-Schlüssel, die im selben Zeitraum erstellt oder geändert wurden, daher wichtige Korrelationspunkte.

Zu den zu überprüfenden Komponenten gehört LockScreenContentServer.exe. Die Ausführung ist verdächtig, wenn sich die Datei außerhalb des normalerweise vorgesehenen Pfads befindet. Microsoft hat jedoch nicht angegeben, welcher Speicherort als legitime Referenz dienen soll. Der Prozessname allein reicht daher nicht aus, um eine Infektion zu bestätigen.

Die Aufklärung bereitet den Pivot zu internen Systemen vor

Vor der Nutzung des Tunnels sammelt TerminalFix Informationen über den Computer und die Netzwerkumgebung. Der Code sucht nach potenziell strategisch wichtigen Systemen, darunter:

• Domänencontroller;
• Datenbanken;
• Backup-Server;
• Gateways;
• E-Mail-Systeme;
• Objekte und Konfigurationen von Active Directory.

Diese Aufklärung ermöglicht den Aufbau einer ersten Übersicht über die Organisation. Der infizierte Endpunkt kann Dienste erreichen, die nicht direkt aus dem Internet zugänglich sind. Dadurch wird er zu einem deutlich nützlicheren Beobachtungs- und Zugriffspunkt als ein gewöhnlicher, isolierter Arbeitsplatz.

Das in Python entwickelte Tunneling-Modul verbindet sich mit:

gitnow[.]dev:443

Die Kommunikation erfolgt über einen verschlüsselten WebSocket. Innerhalb des Kanals kann die Malware TCP-Datenverkehr zu IP-Adressen, Hostnamen und Ports weiterleiten, die vom kompromittierten Computer aus erreichbar sind. Das funktioniert ähnlich wie bei einem SOCKS5-Proxy.

Die Angreifer können den Host dadurch anweisen, eine Verbindung zu einem Domänencontroller, einem Backup-Server oder einem anderen während der Aufklärung erkannten internen Dienst herzustellen. Das System des Opfers wird so zu einem Netzwerk-Pivot.

Das Modul unterstützt Multiplexing, sodass mehrere Verbindungen über denselben WebSocket übertragen werden können. Außerdem verfügt es über Keepalive-Nachrichten, eine Funktion zum Fernbeenden des Tunnels und eine Rotation der User-Agents, um verschiedene Browser zu imitieren. Diese Eigenschaften machen den Kanal stabiler und können ihn mit normalem verschlüsseltem Webdatenverkehr verwechselbar machen.

Das Risiko betrifft das gesamte Netzwerk – nicht nur den infizierten PC

Die anfängliche Interaktion begrenzt den Angriff zunächst auf Personen, die den Anweisungen des gefälschten CAPTCHAs folgen. Nach der Ausführung geht die potenzielle Auswirkung jedoch über das einzelne Benutzerkonto hinaus.

Befinden sich auf dem Computer wiederverwendbare Zugangsdaten, administrative Sitzungen oder Zugriffe auf Unternehmensressourcen, könnten die Angreifer laterale Bewegungen versuchen. Der Tunnel ermöglicht außerdem den Zugriff auf Dienste, die Perimeter-Sicherheitskontrollen normalerweise vor externen Verbindungen schützen.

Zu den möglichen Folgen gehören eine Rechteausweitung, der Diebstahl von Zugangsdaten, die Deaktivierung von Sicherheitswerkzeugen und die Exfiltration von Daten. Derselbe Zugriff könnte zur Verteilung von Ransomware genutzt werden, auch wenn Microsoft diese Phase in der analysierten Kampagne nicht beobachtet hat.

Die Identität des Angreifers wurde nicht ermittelt. Auf Grundlage der verfügbaren Informationen lässt sich TerminalFix daher keiner bestimmten kriminellen oder staatlichen Gruppe zuordnen.

Ebenso handelt es sich nicht um eine Schwachstelle aus dem Known Exploited Vulnerabilities Catalog der CISA. TerminalFix ist eine Social-Engineering-Technik mit einer Malware-Kette und keine Sicherheitslücke, für die ein Hersteller-Patch eingespielt werden müsste.

Sofortige Maßnahmen zur Erkennung einer Kompromittierung

Organisationen sollten zunächst die Nutzung von PowerShell überprüfen. Es empfiehlt sich, ausgeführte Befehle zu protokollieren und nach Prozessen zu suchen, die unmittelbar nach dem Besuch von Webseiten gestartet wurden – insbesondere, wenn dabei ZIP-Archive, PNG-Bilder oder verschleierte Skripte heruntergeladen werden.

Die wichtigsten zu überprüfenden Indikatoren und Verhaltensweisen sind:

• verschlüsselte WebSocket-Verbindungen zu gitnow[.]dev:443;
• ungewöhnliche Ausführungen von LockScreenContentServer.exe;
• ZIP-Archive mit einer signierten ausführbaren Datei und unerwarteten DLLs;
• zeitnahe Downloads von drei PNG-Dateien, gefolgt von der Erstellung ausführbarer Dateien oder Bibliotheken;
• neue geplante Aufgaben mit stündlicher Ausführung;
• neu angelegte oder geänderte Registry-Run-Schlüssel;
• die Aufzählung von Active Directory und Scans nach kritischen Systemen;
• WebSocket-Datenverkehr mit zahlreichen multiplexierten TCP-Verbindungen oder wechselnden User-Agents.

Die genannte Domain sollte auch in historischen DNS-, Proxy-, Firewall- und Endpunkt-Logs gesucht werden. Das Blockieren des Ziels kann den bekannten Kommunikationskanal unterbrechen, entfernt jedoch weder die Persistenz noch schließt es die Nutzung alternativer Infrastruktur aus.

Wenn die Kompromittierung bestätigt wird, muss der Host isoliert und überprüft werden, auf welche internen Systeme zugegriffen wurde. Außerdem sollten alle auf dem Computer verfügbaren Zugangsdaten geändert werden – einschließlich administrativer oder Domänen-Zugangsdaten, sofern diese auf dem Endpunkt offengelegt, gespeichert oder nutzbar waren.

Die Prävention sollte gezielte Schulungen einschließen: Ein legitimes CAPTCHA fordert nicht dazu auf, Windows Terminal zu öffnen und einen PowerShell-Befehl einzufügen. Bei TerminalFix bedeutet das Erkennen dieser Auffälligkeit, den Angriff vor dem ersten Download zu stoppen.