TerminalFix : les faux CAPTCHA Cloudflare utilisent désormais Windows Terminal pour installer une backdoor reverse-tunnel

Microsoft a documenté une nouvelle variante de la famille ClickFix, appelée TerminalFix, qui déplace la tromperie de la classique fenêtre Exécuter de Windows vers Windows Terminal ou PowerShell. L’analyse, publiée le 28 août 2026 et signée par les chercheurs Sagar Patil, Suriyaraj Natarajan et Parasharan Raghavan, décrit une campagne multi-phases qui part de sites compromis et distribue une backdoor dotée de fonctionnalités de tunnel inversé vers le réseau interne des organisations touchées. La menace est considérée comme sérieuse pour les environnements d’entreprise.

La tromperie passe d’Exécuter à Windows Terminal

La campagne TerminalFix touche des organisations de plusieurs secteurs via des sites web compromis qui affichent de faux CAPTCHA Cloudflare. Le visiteur est incité à copier et coller une commande PowerShell, croyant devoir compléter une vérification anti-bot. ClickFix est une famille d’attaques basée sur la tromperie de l’utilisateur : la victime voit un message l’invitant à effectuer une action manuelle, généralement coller une commande, pour résoudre un faux problème.

La différence par rapport au ClickFix traditionnel réside dans la surface d’exécution : non plus la fenêtre Exécuter (Win+R), mais Windows Terminal ou PowerShell. Selon Microsoft, ce changement augmente la probabilité que des scripts complexes et multi-lignes soient exécutés correctement, en contournant les limites de la fenêtre Exécuter. Aucune version spécifique de Windows touchée n’a été précisée : le vecteur exploite des composants standard du système d’exploitation et ne requiert pas de vulnérabilité produit.

La chaîne d’infection : de la commande collée au sideload de DLL

La commande PowerShell exécutée par la victime télécharge une archive ZIP contenant deux fichiers : LockScreenContentServer.exe, un binaire légitime, et dui70.dll, une bibliothèque malveillante. Lorsque l’exécutable est lancé, le système charge la DLL malveillante depuis le même chemin via le sideloading de DLL. De cette façon, le code malveillant est exécuté dans le contexte d’une application apparemment légitime, échappant à de nombreux contrôles de sécurité.

La bibliothèque récupère ensuite les charges utiles suivantes cachées dans des images PNG depuis les domaines bestsocialmedianewspapper[.]com ou offlineupdater[.]com. La persistance est assurée via des clés Run du Registre système et des tâches planifiées, ainsi le logiciel malveillant survit aux redémarrages.

Reconnaissance Active Directory et tunnel inversé vers gitnow[.]dev

Une fois installé, le logiciel malveillant effectue une reconnaissance approfondie d’Active Directory. Il collecte les métadonnées système, identifie les approbations de domaine, énumère les administrateurs de domaine, recherche les utilisateurs et ordinateurs AD et utilise le ping vers des serveurs connus pour cartographier la topologie du réseau interne. L’objectif est d’identifier des cibles de valeur et des chemins de déplacement latéral.

Ensuite, client.py, une backdoor Python avec des fonctionnalités de tunnel inversé, est déployé. Le composant achemine du trafic TCP arbitraire vers gitnow[.]dev sur le port 443 via un canal WebSocket chiffré. En pratique, la machine compromise agit comme un proxy : le serveur de commande et de contrôle peut atteindre n’importe quel hôte visible depuis le réseau de la victime, même s’il n’est pas exposé sur Internet. Le tunnel inversé permet à l’attaquant de contourner les contrôles de périmètre et d’atteindre des services internes qui ne sont normalement pas joignables de l’extérieur.

De plus, une boucle PowerShell de surveillance de fichier est installée : elle surveille un fichier texte, exécute les nouvelles commandes via Invoke-Expression et écrit les résultats dans un fichier de sortie, garantissant un canal persistant pour l’exécution à distance.

Pourquoi TerminalFix est particulièrement dangereuse

Il ne s’agit pas d’une vulnérabilité produit avec un identifiant CVE ou un score CVSS. Par conséquent, la campagne n’apparaît pas dans le catalogue KEV de la CISA, qui recense les vulnérabilités exploitées dans des attaques actives. Il s’agit plutôt d’une chaîne d’ingénierie sociale, d’exécution de code et d’accès proxy au niveau réseau.

Microsoft la considère comme particulièrement dangereuse car le tunnel inversé offre à l’attaquant un accès direct au réseau interne de l’organisation. Depuis cette position, il peut tenter une élévation de privilèges, désactiver les contrôles de sécurité, exfiltrer des données sensibles ou déployer un ransomware. Comme il n’existe pas de correctif logiciel à déployer, la protection dépend entièrement de la réduction de la surface d’attaque et de la surveillance des indicateurs.

Indicateurs de compromission

Ceux qui défendent un réseau peuvent rechercher ces indicateurs :

• Domaines : bestsocialmedianewspapper[.]com, offlineupdater[.]com, gitnow[.]dev (port 443)
• Fichiers : LockScreenContentServer.exe, dui70.dll, client.py
• Techniques : sideloading de DLL, charges utiles cachées dans des images PNG, exécution via Invoke-Expression, WebSocket chiffré vers gitnow[.]dev:443

La présence de trafic réseau vers les domaines indiqués, de processus chargeant dui70.dll depuis des chemins non standard, ou de commandes PowerShell utilisant Invoke-Expression devrait déclencher une investigation immédiate.

Comment se défendre

Il n’existe pas de correctif à appliquer, car il n’y a pas une seule faille à corriger. Les contre-mesures recommandées sont de configuration et de surveillance :

• Limiter l’exécution de PowerShell et de la fenêtre Exécuter pour les utilisateurs standard via AppLocker, Application Control for Windows ou les stratégies de groupe.
• Évaluer le blocage ou l’audit de la fenêtre Exécuter (Win+R) si elle n’est pas nécessaire pour les activités quotidiennes.
• Surveiller les indicateurs de sideloading de DLL, en particulier le chargement de dui70.dll depuis des répertoires non standard.
• Former les employés à reconnaître les attaques ClickFix : aucun CAPTCHA légitime ne demande d’ouvrir un terminal et de coller des commandes.
• Activer la journalisation des blocs de script PowerShell pour détecter et analyser les commandes obscurcies ou encodées.

Ces mesures réduisent la surface d’attaque et augmentent la capacité à détecter une infection en cours. TerminalFix démontre que les attaquants continuent de perfectionner les techniques d’ingénierie sociale, en déplaçant la tromperie vers des outils que les utilisateurs d’entreprise utilisent quotidiennement.