TerminalFix trasforma falsi CAPTCHA in tunnel verso le reti aziendali

Microsoft osserva una nuova evoluzione degli attacchi ClickFix

Il 31 agosto 2026 è stata riportata una campagna informatica osservata da Microsoft in attività reale, basata su una variante della tecnica ClickFix denominata TerminalFix.

L’attacco parte da falsi controlli CAPTCHA visualizzati su siti web compromessi. La pagina convince la vittima ad aprire Windows Terminal e a eseguire un comando PowerShell già inserito negli appunti, presentandolo come necessario per completare la verifica.

Non viene sfruttata una vulnerabilità software. È l’utente ad avviare la catena, seguendo istruzioni costruite per sembrare una normale procedura anti-bot. Non risultano quindi identificativi CVE, punteggi CVSS, aggiornamenti correttivi o versioni specifiche di Windows interessate.

Il funzionamento differisce dalle campagne ClickFix più comuni, spesso orientate all’installazione di infostealer. In questo caso il risultato principale è un reverse tunnel che consente agli operatori di utilizzare il computer compromesso come punto di ingresso verso la rete interna.

Microsoft non ha osservato sessioni interattive successive alla compromissione. L’accesso ottenuto, tuttavia, è compatibile con attività di ricognizione, movimento laterale, furto di credenziali, evasione delle difese, esfiltrazione e distribuzione di ransomware.

Dal comando PowerShell al payload caricato in memoria

La catena inizia quando il falso CAPTCHA induce la vittima a eseguire il comando PowerShell contenuto nella clipboard. Questo passaggio permette di superare alcune difese del browser, perché l’azione viene autorizzata direttamente dall’utente in un terminale di Windows.

Il comando scarica un archivio ZIP contenente due elementi:

• un eseguibile legittimo con firma digitale valida;
• una DLL dannosa destinata a essere caricata attraverso quell’eseguibile.

L’impiego di un programma firmato può ridurre la diffidenza dell’utente e complicare le verifiche basate soltanto sulla reputazione del file principale. La DLL esegue invece le operazioni malevole: decodifica il payload offuscato e lo avvia direttamente in memoria.

Questa struttura richiede controlli più approfonditi della sola validità della firma digitale. Un file firmato non garantisce infatti che l’intera sequenza di caricamento sia affidabile, soprattutto quando si trova accanto a librerie inattese in directory create dopo un download.

TerminalFix sfrutta inoltre la maggiore flessibilità di Windows Terminal e PowerShell rispetto a semplici finestre di esecuzione. Gli script possono includere più istruzioni, gestire download e ricostruire componenti complessi senza mostrare alla vittima l’intera logica dell’attacco.

Le build di Windows e le versioni esatte di Windows Terminal o PowerShell coinvolte non sono state rese note. Non è indicato neppure un percorso iniziale unico dal quale venga eseguito il materiale scaricato.

Tre immagini PNG nascondono eseguibili e frammenti di DLL

La seconda fase utilizza la steganografia per occultare parti del malware all’interno di tre immagini PNG. I file eseguibili e i frammenti delle DLL vengono inseriti nei dati dei pixel, così da apparire come normali contenuti grafici durante il trasferimento.

Uno script scarica le tre immagini dal server di comando e controllo, ne estrae i dati nascosti e ricompone sul disco i componenti necessari. Il payload finale non deve quindi essere trasferito come un singolo eseguibile immediatamente riconoscibile.

Questa tecnica frammenta la catena e può ostacolare i controlli che analizzano ogni download isolatamente. Una singola immagine potrebbe non apparire sospetta senza correlare il successivo accesso ai file, l’elaborazione dei pixel e la creazione di DLL o programmi eseguibili.

Per mantenere l’accesso, il malware configura due differenti forme di persistenza:

• un’attività pianificata di Windows con esecuzione oraria;
• una chiave Registry Run, anch’essa associata a un avvio ricorrente.

La ridondanza consente alla compromissione di sopravvivere alla rimozione di uno dei due meccanismi. Per gli analisti, attività pianificate e chiavi Run create o modificate nello stesso intervallo rappresentano quindi elementi da correlare.

Tra i componenti da controllare compare LockScreenContentServer.exe. La sua esecuzione è sospetta quando il file si trova al di fuori del percorso normalmente previsto, ma Microsoft non ha indicato quale sia la posizione legittima da usare come riferimento. Il solo nome del processo non basta dunque per confermare un’infezione.

La ricognizione prepara il pivot verso i sistemi interni

Prima di utilizzare il tunnel, TerminalFix raccoglie informazioni sulla macchina e sull’ambiente di rete. Il codice cerca sistemi potenzialmente strategici, inclusi:

• controller di dominio;
• database;
• server di backup;
• gateway;
• sistemi di posta elettronica;
• oggetti e configurazioni di Active Directory.

Questa ricognizione permette di costruire una mappa iniziale dell’organizzazione. L’endpoint infetto può vedere servizi che non sono direttamente esposti a Internet, rendendolo un punto di osservazione e di accesso molto più utile di una normale postazione isolata.

Il modulo di tunneling, sviluppato in Python, si collega a:

gitnow[.]dev:443

La comunicazione passa attraverso un WebSocket cifrato. All’interno del canale, il malware può inoltrare traffico TCP verso indirizzi IP, nomi host e porte raggiungibili dal computer compromesso, con un funzionamento analogo a quello di un proxy SOCKS5.

Gli operatori possono così ordinare all’host di connettersi a un controller di dominio, a un server di backup o a qualsiasi altro servizio interno individuato durante la ricognizione. Il sistema della vittima diventa un pivot di rete.

Il modulo supporta il multiplexing, quindi più connessioni possono viaggiare nello stesso WebSocket. Integra inoltre messaggi keepalive, arresto remoto del tunnel e rotazione degli User-Agent per imitare browser differenti. Queste caratteristiche rendono il canale più stabile e possono confonderlo con normale traffico web cifrato.

Il rischio riguarda l’intera rete, non soltanto il PC infetto

L’interazione iniziale limita gli attacchi alle persone che seguono le istruzioni del falso CAPTCHA. Dopo l’esecuzione, però, l’impatto potenziale supera il singolo account utente.

Se sulla macchina sono presenti credenziali riutilizzabili, sessioni amministrative o accessi a risorse aziendali, l’operatore potrebbe tentare il movimento laterale. Il tunnel consente inoltre di raggiungere servizi che i controlli perimetrali normalmente proteggono dalle connessioni esterne.

Le possibili conseguenze comprendono escalation dei privilegi, sottrazione di credenziali, disattivazione degli strumenti di sicurezza ed esfiltrazione di dati. Lo stesso accesso potrebbe essere impiegato per distribuire ransomware, anche se Microsoft non ha riferito di aver osservato questa fase nella campagna analizzata.

L’identità dell’operatore non è stata determinata. Non è quindi possibile associare TerminalFix a un gruppo criminale o statale specifico sulla base degli elementi disponibili.

Non si tratta nemmeno di una falla presente nel catalogo Known Exploited Vulnerabilities della CISA. TerminalFix è una tecnica di ingegneria sociale con una catena malware, non una vulnerabilità per la quale applicare una patch del produttore.

Controlli immediati per individuare la compromissione

Le organizzazioni dovrebbero partire dall’uso di PowerShell. È opportuno registrare i comandi eseguiti e cercare processi avviati subito dopo la visita a pagine web, soprattutto quando coinvolgono download di archivi ZIP, immagini PNG o script offuscati.

Gli indicatori e i comportamenti principali da verificare sono:

• connessioni WebSocket cifrate verso gitnow[.]dev:443;
• esecuzioni anomale di LockScreenContentServer.exe;
• archivi ZIP contenenti un eseguibile firmato insieme a DLL inattese;
• download ravvicinati di tre PNG seguiti dalla creazione di eseguibili o librerie;
• nuove attività pianificate configurate con frequenza oraria;
• aggiunte o modifiche alle chiavi Registry Run;
• enumerazione di Active Directory e scansioni verso sistemi critici;
• traffico WebSocket con molte connessioni TCP multiplexate o User-Agent variabili.

Il dominio indicato deve essere cercato anche nei log storici di DNS, proxy, firewall ed endpoint. Il blocco della destinazione può interrompere il canale noto, ma non elimina la persistenza e non esclude l’impiego di infrastrutture alternative.

Quando la compromissione è confermata, occorre isolare l’host e verificare gli accessi effettuati verso la rete interna. Vanno inoltre ruotate le credenziali disponibili sulla macchina, comprese quelle amministrative o di dominio se risultano esposte, memorizzate o utilizzabili dall’endpoint.

La prevenzione deve includere formazione mirata: un CAPTCHA legittimo non chiede di aprire Windows Terminal e incollare un comando PowerShell. In TerminalFix, riconoscere questa anomalia significa fermare l’attacco prima del primo download.