TerminalFix convierte falsos CAPTCHA en túneles hacia las redes corporativas

Microsoft observa una nueva evolución de los ataques ClickFix

El 31 de agosto de 2026 se informó de una campaña informática observada por Microsoft en actividad real, basada en una variante de la técnica ClickFix denominada TerminalFix.

El ataque comienza con falsos controles CAPTCHA mostrados en sitios web comprometidos. La página convence a la víctima para abrir Windows Terminal y ejecutar un comando de PowerShell previamente copiado en el portapapeles, presentándolo como un requisito para completar la verificación.

No se explota ninguna vulnerabilidad de software. Es el usuario quien inicia la cadena al seguir unas instrucciones diseñadas para parecer un procedimiento antirrobots normal. Por tanto, no constan identificadores CVE, puntuaciones CVSS, actualizaciones correctivas ni versiones específicas de Windows afectadas.

El funcionamiento difiere del de las campañas ClickFix más habituales, que suelen orientarse a la instalación de infostealers. En este caso, el resultado principal es un túnel inverso (reverse tunnel) que permite a los operadores utilizar el equipo comprometido como punto de entrada a la red interna.

Microsoft no ha observado sesiones interactivas posteriores a la intrusión. Sin embargo, el acceso obtenido es compatible con actividades de reconocimiento, movimiento lateral, robo de credenciales, evasión de defensas, exfiltración y distribución de ransomware.

Del comando de PowerShell al payload cargado en memoria

La cadena comienza cuando el CAPTCHA falso induce a la víctima a ejecutar el comando de PowerShell contenido en el portapapeles. Este paso permite sortear algunas defensas del navegador, ya que la acción es autorizada directamente por el usuario en un terminal de Windows.

El comando descarga un archivo ZIP que contiene dos elementos:

• un ejecutable legítimo con una firma digital válida;
• una DLL maliciosa destinada a cargarse mediante ese ejecutable.

El uso de un programa firmado puede reducir la desconfianza del usuario y complicar las comprobaciones basadas únicamente en la reputación del archivo principal. La DLL, en cambio, ejecuta las operaciones maliciosas: descodifica el payload ofuscado y lo inicia directamente en memoria.

Esta estructura exige controles más exhaustivos que la simple validación de la firma digital. Un archivo firmado no garantiza que toda la secuencia de carga sea fiable, especialmente cuando aparece junto a bibliotecas inesperadas en directorios creados después de una descarga.

TerminalFix también aprovecha la mayor flexibilidad de Windows Terminal y PowerShell frente a las simples ventanas de ejecución. Los scripts pueden incluir varias instrucciones, gestionar descargas y reconstruir componentes complejos sin mostrar a la víctima toda la lógica del ataque.

No se han dado a conocer las compilaciones de Windows ni las versiones exactas de Windows Terminal o PowerShell implicadas. Tampoco se ha indicado una única ruta inicial desde la que se ejecute el material descargado.

Tres imágenes PNG ocultan ejecutables y fragmentos de DLL

La segunda fase utiliza esteganografía para ocultar partes del malware dentro de tres imágenes PNG. Los archivos ejecutables y los fragmentos de las DLL se insertan en los datos de los píxeles, de modo que parecen contenidos gráficos normales durante la transferencia.

Un script descarga las tres imágenes desde el servidor de mando y control, extrae los datos ocultos y reconstruye en el disco los componentes necesarios. Por tanto, el payload final no tiene que transferirse como un único ejecutable inmediatamente reconocible.

Esta técnica fragmenta la cadena y puede dificultar los controles que analizan cada descarga de forma aislada. Una sola imagen podría no parecer sospechosa sin correlacionarla con el acceso posterior a los archivos, el procesamiento de los píxeles y la creación de DLL o programas ejecutables.

Para mantener el acceso, el malware configura dos mecanismos de persistencia diferentes:

• una tarea programada de Windows con ejecución cada hora;
• una clave Registry Run, también asociada a un inicio recurrente.

La redundancia permite que la intrusión sobreviva a la eliminación de uno de los dos mecanismos. Para los analistas, las tareas programadas y las claves Run creadas o modificadas durante el mismo intervalo son, por tanto, elementos que deben correlacionarse.

Entre los componentes que deben comprobarse figura LockScreenContentServer.exe. Su ejecución resulta sospechosa cuando el archivo se encuentra fuera de la ruta prevista normalmente, pero Microsoft no ha indicado cuál es la ubicación legítima que debe utilizarse como referencia. Por tanto, el nombre del proceso por sí solo no basta para confirmar una infección.

El reconocimiento prepara el pivotaje hacia los sistemas internos

Antes de utilizar el túnel, TerminalFix recopila información sobre el equipo y el entorno de red. El código busca sistemas potencialmente estratégicos, entre ellos:

• controladores de dominio;
• bases de datos;
• servidores de backup;
• gateways;
• sistemas de correo electrónico;
• objetos y configuraciones de Active Directory.

Este reconocimiento permite construir un mapa inicial de la organización. El endpoint infectado puede ver servicios que no están directamente expuestos a Internet, lo que lo convierte en un punto de observación y acceso mucho más útil que un equipo aislado convencional.

El módulo de tunneling, desarrollado en Python, se conecta a:

gitnow[.]dev:443

La comunicación se realiza mediante un WebSocket cifrado. Dentro del canal, el malware puede reenviar tráfico TCP hacia direcciones IP, nombres de host y puertos accesibles desde el equipo comprometido, con un funcionamiento similar al de un proxy SOCKS5.

De este modo, los operadores pueden ordenar al host que se conecte a un controlador de dominio, a un servidor de backup o a cualquier otro servicio interno identificado durante el reconocimiento. El sistema de la víctima se convierte en un pivot de red.

El módulo admite multiplexación, por lo que varias conexiones pueden viajar por el mismo WebSocket. También integra mensajes keepalive, detención remota del túnel y rotación de User-Agent para imitar distintos navegadores. Estas características hacen que el canal sea más estable y pueden confundirlo con tráfico web cifrado normal.

El riesgo afecta a toda la red, no solo al PC infectado

La interacción inicial limita los ataques a las personas que siguen las instrucciones del CAPTCHA falso. Sin embargo, una vez ejecutado el comando, el impacto potencial supera el ámbito de una sola cuenta de usuario.

Si el equipo contiene credenciales reutilizables, sesiones administrativas o accesos a recursos corporativos, el operador podría intentar realizar movimientos laterales. Además, el túnel permite alcanzar servicios que los controles perimetrales suelen proteger frente a conexiones externas.

Entre las posibles consecuencias se incluyen la escalada de privilegios, el robo de credenciales, la desactivación de las herramientas de seguridad y la exfiltración de datos. El mismo acceso podría utilizarse para distribuir ransomware, aunque Microsoft no ha informado de haber observado esta fase en la campaña analizada.

No se ha determinado la identidad del operador. Por tanto, con los elementos disponibles no es posible asociar TerminalFix a un grupo criminal o estatal concreto.

Tampoco se trata de un fallo incluido en el catálogo Known Exploited Vulnerabilities de CISA. TerminalFix es una técnica de ingeniería social con una cadena de malware, no una vulnerabilidad a la que deba aplicarse un parche del fabricante.

Controles inmediatos para detectar la intrusión

Las organizaciones deberían comenzar por revisar el uso de PowerShell. Es recomendable registrar los comandos ejecutados y buscar procesos iniciados inmediatamente después de visitar páginas web, especialmente cuando impliquen descargas de archivos ZIP, imágenes PNG o scripts ofuscados.

Los principales indicadores y comportamientos que deben comprobarse son:

• conexiones WebSocket cifradas hacia gitnow[.]dev:443;
• ejecuciones anómalas de LockScreenContentServer.exe;
• archivos ZIP que contengan un ejecutable firmado junto con DLL inesperadas;
• descargas consecutivas de tres PNG seguidas de la creación de ejecutables o bibliotecas;
• nuevas tareas programadas configuradas con una frecuencia horaria;
• adiciones o modificaciones de claves Registry Run;
• enumeración de Active Directory y escaneos dirigidos a sistemas críticos;
• tráfico WebSocket con numerosas conexiones TCP multiplexadas o User-Agent variables.

El dominio indicado también debe buscarse en los registros históricos de DNS, proxy, firewall y endpoints. Bloquear el destino puede interrumpir el canal conocido, pero no elimina la persistencia ni descarta el uso de infraestructura alternativa.

Cuando se confirme la intrusión, es necesario aislar el host y revisar los accesos realizados hacia la red interna. También deben rotarse las credenciales disponibles en el equipo, incluidas las administrativas o de dominio si se encontraban expuestas, almacenadas o disponibles para el endpoint.

La prevención debe incluir formación específica: un CAPTCHA legítimo no pide abrir Windows Terminal ni pegar un comando de PowerShell. En TerminalFix, reconocer esta anomalía permite detener el ataque antes de la primera descarga.