TerminalFix: i falsi CAPTCHA Cloudflare ora usano Windows Terminal per installare una backdoor reverse-tunnel

Microsoft ha documentato una nuova variante della famiglia ClickFix, chiamata TerminalFix, che sposta l’inganno dalla classica finestra Esegui di Windows a Windows Terminal o PowerShell. L’analisi, pubblicata il 28 agosto 2026 e firmata dai ricercatori Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, descrive una campagna multi-fase che parte da siti compromessi e distribuisce una backdoor con funzionalità di reverse tunnel verso la rete interna delle organizzazioni colpite. La minaccia è considerata seria per gli ambienti enterprise.

L’inganno si sposta da Esegui a Windows Terminal

La campagna TerminalFix colpisce organizzazioni di più settori attraverso siti web compromessi che mostrano falsi CAPTCHA di Cloudflare. Il visitatore viene indotto a copiare e incollare un comando PowerShell, credendo di dover completare una verifica anti-bot. ClickFix è una famiglia di attacchi basata sull’inganno dell’utente: la vittima vede un messaggio che la invita a eseguire un’azione manuale, di solito incollare un comando, per risolvere un finto problema.

La differenza rispetto al ClickFix tradizionale sta nella superficie di esecuzione: non più la finestra Esegui (Win+R), ma Windows Terminal o PowerShell. Secondo Microsoft, questo cambiamento aumenta la probabilità che script complessi e multi-riga vengano eseguiti correttamente, aggirando i limiti della finestra Esegui. Non sono state rese note versioni specifiche di Windows colpite: il vettore sfrutta componenti standard del sistema operativo e non richiede vulnerabilità di prodotto.

La catena di infezione: dal comando incollato al sideload della DLL

Il comando PowerShell eseguito dalla vittima scarica un archivio ZIP contenente due file: LockScreenContentServer.exe, un binario legittimo, e dui70.dll, una libreria dannosa. Quando l’eseguibile viene avviato, il sistema carica la DLL malevola dallo stesso percorso tramite DLL sideloading. In questo modo il codice dannoso viene eseguito all’interno del contesto di un’applicazione apparentemente legittima, eludendo molti controlli di sicurezza.

La libreria recupera poi i payload successivi nascosti all’interno di immagini PNG dai domini bestsocialmedianewspapper[.]com oppure offlineupdater[.]com. La persistenza viene garantita tramite chiavi Run del Registro di sistema e attività pianificate, così il malware sopravvive ai riavvii.

Ricognizione Active Directory e tunnel inverso verso gitnow[.]dev

Una volta installato, il malware esegue una ricognizione approfondita di Active Directory. Raccoglie metadati di sistema, individua i trust di dominio, enumera i domain admin, ricerca utenti e computer AD e usa il ping verso server noti per mappare la topologia della rete interna. L’obiettivo è identificare obiettivi di valore e percorsi di movimento laterale.

Viene quindi distribuito client.py, una backdoor Python con funzionalità di reverse tunnel. Il componente incanala traffico TCP arbitrario verso gitnow[.]dev sulla porta 443 attraverso un canale WebSocket cifrato. In pratica, la macchina compromessa funziona come un proxy: il server di comando e controllo può raggiungere qualunque host visibile dalla rete della vittima, anche se non esposto su Internet. Il tunnel inverso consente all’attaccante di aggirare i controlli di perimetro e raggiungere servizi interni che normalmente non sono raggiungibili dall’esterno.

Viene inoltre installato un loop PowerShell di file-watch che monitora un file di testo, esegue i nuovi comandi tramite Invoke-Expression e scrive i risultati in un file di output, garantendo un canale persistente per l’esecuzione remota.

Perché TerminalFix è particolarmente pericolosa

Non si tratta di una vulnerabilità di prodotto con un identificativo CVE o un punteggio CVSS. Di conseguenza, la campagna non compare nel catalogo KEV della CISA, che raccoglie le vulnerabilità sfruttate in attacchi attivi. È invece una catena di social engineering, esecuzione di codice e accesso proxy a livello di rete.

Microsoft la considera particolarmente pericolosa perché il tunnel inverso offre all’attaccante accesso diretto alla rete interna dell’organizzazione. Da quella posizione può tentare l’elevazione dei privilegi, disattivare i controlli di sicurezza, esfiltrare dati sensibili o distribuire ransomware. Poiché non esiste una correzione software da distribuire, la protezione dipende interamente dalla riduzione della superficie di attacco e dal monitoraggio degli indicatori.

Indicatori di compromissione

Chi difende una rete può cercare questi indicatori:

• Domini: bestsocialmedianewspapper[.]com, offlineupdater[.]com, gitnow[.]dev (porta 443)
• File: LockScreenContentServer.exe, dui70.dll, client.py
• Tecniche: DLL sideloading, payload nascosti in immagini PNG, esecuzione tramite Invoke-Expression, WebSocket cifrato verso gitnow[.]dev:443

La presenza di traffico di rete verso i domini indicati, di processi che caricano dui70.dll da percorsi non standard o di comandi PowerShell che usano Invoke-Expression dovrebbe far scattare un approfondimento immediato.

Come difendersi

Non esistono patch da applicare, perché non c’è una singola falla da correggere. Le contromisure raccomandate sono di configurazione e monitoraggio:

• Limitare l’esecuzione di PowerShell e della finestra Esegui per gli utenti standard tramite AppLocker, Application Control for Windows o Criteri di gruppo.
• Valutare il blocco o l’audit della finestra Esegui (Win+R) se non è necessaria per le attività quotidiane.
• Monitorare gli indicatori di DLL sideloading, in particolare il caricamento di dui70.dll da directory non standard.
• Formare i dipendenti a riconoscere gli attacchi ClickFix: nessun CAPTCHA legittimo chiede di aprire un terminale e incollare comandi.
• Abilitare il PowerShell Script Block Logging per rilevare e analizzare comandi offuscati o codificati.

Queste misure riducono la superficie di attacco e aumentano la capacità di individuare un’infezione in corso. TerminalFix dimostra che gli attaccanti continuano a perfezionare le tecniche di social engineering, spostando l’inganno su strumenti che gli utenti aziendali usano ogni giorno.