TerminalFix transforme de faux CAPTCHA en tunnels vers les réseaux d’entreprise

Microsoft observe une nouvelle évolution des attaques ClickFix

Le 31 août 2026, Microsoft a signalé une campagne informatique observée en conditions réelles, fondée sur une variante de la technique ClickFix baptisée TerminalFix.

L’attaque commence par l’affichage de faux contrôles CAPTCHA sur des sites web compromis. La page incite la victime à ouvrir Windows Terminal et à exécuter une commande PowerShell déjà copiée dans le presse-papiers, en la présentant comme nécessaire pour terminer la vérification.

Aucune vulnérabilité logicielle n’est exploitée. C’est l’utilisateur qui amorce la chaîne en suivant des instructions conçues pour ressembler à une procédure anti-bot classique. Aucun identifiant CVE, score CVSS, correctif ou version spécifique de Windows concernée n’a donc été associé à cette campagne.

Le fonctionnement diffère de celui des campagnes ClickFix les plus courantes, souvent destinées à installer des infostealers. Ici, le principal résultat est la mise en place d’un tunnel inverse permettant aux opérateurs d’utiliser l’ordinateur compromis comme point d’entrée vers le réseau interne.

Microsoft n’a pas observé de sessions interactives après la compromission. L’accès obtenu reste toutefois compatible avec des activités de reconnaissance, de déplacement latéral, de vol d’identifiants, de contournement des défenses, d’exfiltration et de déploiement de ransomware.

De la commande PowerShell au payload chargé en mémoire

La chaîne commence lorsque le faux CAPTCHA incite la victime à exécuter la commande PowerShell présente dans le presse-papiers. Cette étape permet de contourner certaines protections du navigateur, puisque l’action est directement autorisée par l’utilisateur dans un terminal Windows.

La commande télécharge une archive ZIP contenant deux éléments :

• un exécutable légitime doté d’une signature numérique valide ;
• une DLL malveillante destinée à être chargée par cet exécutable.

L’utilisation d’un programme signé peut réduire la méfiance de l’utilisateur et compliquer les contrôles fondés uniquement sur la réputation du fichier principal. La DLL effectue quant à elle les opérations malveillantes : elle décode le payload obfusqué et l’exécute directement en mémoire.

Cette structure nécessite des contrôles plus approfondis que la simple vérification de la signature numérique. Un fichier signé ne garantit pas que l’ensemble de la chaîne de chargement soit fiable, notamment lorsqu’il est placé à côté de bibliothèques inattendues dans des répertoires créés après un téléchargement.

TerminalFix exploite également la plus grande flexibilité de Windows Terminal et de PowerShell par rapport aux simples fenêtres d’exécution. Les scripts peuvent contenir plusieurs instructions, gérer des téléchargements et reconstruire des composants complexes sans révéler à la victime toute la logique de l’attaque.

Les éditions de Windows ainsi que les versions exactes de Windows Terminal ou de PowerShell concernées n’ont pas été communiquées. Aucun chemin initial unique depuis lequel le contenu téléchargé serait exécuté n’a non plus été indiqué.

Trois images PNG dissimulent des exécutables et des fragments de DLL

La deuxième phase utilise la stéganographie pour dissimuler des parties du malware dans trois images PNG. Les fichiers exécutables et les fragments de DLL sont intégrés aux données des pixels afin de ressembler à de simples contenus graphiques pendant leur transfert.

Un script télécharge les trois images depuis le serveur de commande et de contrôle, en extrait les données cachées, puis reconstitue sur le disque les composants nécessaires. Le payload final n’a donc pas besoin d’être transféré sous la forme d’un unique exécutable immédiatement identifiable.

Cette technique fragmente la chaîne et peut compliquer les contrôles qui analysent chaque téléchargement isolément. Une image seule peut ne pas paraître suspecte sans corréler l’accès ultérieur aux fichiers, le traitement des pixels et la création de DLL ou de programmes exécutables.

Pour maintenir l’accès, le malware met en place deux mécanismes de persistance distincts :

• une tâche planifiée Windows exécutée toutes les heures ;
• une clé Registry Run, également associée à un lancement récurrent.

Cette redondance permet à la compromission de survivre à la suppression de l’un des deux mécanismes. Pour les analystes, les tâches planifiées et les clés Run créées ou modifiées dans le même intervalle constituent donc des éléments à corréler.

Parmi les composants à surveiller figure LockScreenContentServer.exe. Son exécution est suspecte lorsque le fichier se trouve en dehors de l’emplacement habituellement prévu, mais Microsoft n’a pas indiqué quel chemin légitime utiliser comme référence. Le seul nom du processus ne suffit donc pas à confirmer une infection.

La reconnaissance prépare le pivot vers les systèmes internes

Avant d’utiliser le tunnel, TerminalFix collecte des informations sur la machine et l’environnement réseau. Le code recherche des systèmes potentiellement stratégiques, notamment :

• des contrôleurs de domaine ;
• des bases de données ;
• des serveurs de sauvegarde ;
• des passerelles ;
• des systèmes de messagerie ;
• des objets et configurations Active Directory.

Cette phase de reconnaissance permet d’établir une première cartographie de l’organisation. Le poste infecté peut accéder à des services qui ne sont pas directement exposés à Internet, ce qui en fait un point d’observation et d’accès bien plus utile qu’un poste isolé classique.

Le module de tunneling, développé en Python, se connecte à :

gitnow[.]dev:443

La communication transite par un WebSocket chiffré. Dans ce canal, le malware peut relayer du trafic TCP vers les adresses IP, noms d’hôte et ports accessibles depuis l’ordinateur compromis, selon un fonctionnement similaire à celui d’un proxy SOCKS5.

Les opérateurs peuvent ainsi demander à l’hôte de se connecter à un contrôleur de domaine, à un serveur de sauvegarde ou à tout autre service interne découvert lors de la reconnaissance. Le système de la victime devient alors un pivot réseau.

Le module prend en charge le multiplexage : plusieurs connexions peuvent donc transiter par le même WebSocket. Il intègre également des messages keepalive, l’arrêt à distance du tunnel et la rotation des User-Agent afin d’imiter différents navigateurs. Ces fonctionnalités rendent le canal plus stable et peuvent le faire passer pour du trafic web chiffré ordinaire.

Le risque concerne l’ensemble du réseau, pas seulement le poste infecté

L’interaction initiale limite les attaques aux personnes qui suivent les instructions du faux CAPTCHA. Après l’exécution, l’impact potentiel dépasse toutefois largement le compte utilisateur concerné.

Si la machine contient des identifiants réutilisables, des sessions administratives ou des accès à des ressources d’entreprise, l’opérateur peut tenter un déplacement latéral. Le tunnel permet également d’atteindre des services que les contrôles périmétriques protègent normalement des connexions externes.

Les conséquences possibles comprennent l’élévation de privilèges, le vol d’identifiants, la désactivation des outils de sécurité et l’exfiltration de données. Le même accès pourrait servir à déployer un ransomware, même si Microsoft n’a pas indiqué avoir observé cette phase dans la campagne analysée.

L’identité de l’opérateur n’a pas été déterminée. Les éléments disponibles ne permettent donc pas d’attribuer TerminalFix à un groupe criminel ou étatique précis.

Il ne s’agit pas non plus d’une faille répertoriée dans le catalogue Known Exploited Vulnerabilities de la CISA. TerminalFix est une technique d’ingénierie sociale associée à une chaîne malveillante, et non une vulnérabilité nécessitant l’application d’un correctif éditeur.

Contrôles immédiats pour détecter une compromission

Les organisations devraient commencer par analyser l’utilisation de PowerShell. Il est recommandé d’enregistrer les commandes exécutées et de rechercher les processus lancés immédiatement après la consultation de pages web, en particulier lorsqu’ils impliquent le téléchargement d’archives ZIP, d’images PNG ou de scripts obfusqués.

Les principaux indicateurs et comportements à vérifier sont les suivants :

• des connexions WebSocket chiffrées vers gitnow[.]dev:443 ;
• des exécutions inhabituelles de LockScreenContentServer.exe ;
• des archives ZIP contenant un exécutable signé accompagné de DLL inattendues ;
• des téléchargements rapprochés de trois fichiers PNG suivis de la création d’exécutables ou de bibliothèques ;
• de nouvelles tâches planifiées configurées pour s’exécuter toutes les heures ;
• l’ajout ou la modification de clés Registry Run ;
• l’énumération d’Active Directory et des analyses ciblant des systèmes critiques ;
• du trafic WebSocket comportant de nombreuses connexions TCP multiplexées ou des User-Agent variables.

Le domaine indiqué doit également être recherché dans les journaux historiques DNS, proxy, pare-feu et endpoint. Le blocage de la destination peut interrompre le canal connu, mais il ne supprime pas la persistance et n’exclut pas l’utilisation d’autres infrastructures.

Lorsqu’une compromission est confirmée, il faut isoler l’hôte et vérifier les accès effectués vers le réseau interne. Les identifiants disponibles sur la machine doivent également être renouvelés, notamment les identifiants administratifs ou de domaine s’ils ont été exposés, enregistrés ou utilisés depuis le poste.

La prévention doit inclure une formation ciblée : un CAPTCHA légitime ne demande jamais d’ouvrir Windows Terminal et de coller une commande PowerShell. Dans le cas de TerminalFix, reconnaître cette anomalie permet d’arrêter l’attaque avant le premier téléchargement.