A campanha TerminalFix usa sites comprometidos e um falso CAPTCHA da Cloudflare para induzir usuários a copiar e executar um comando no Windows Terminal ou no PowerShell. Organizações com estações Windows estão expostas, sobretudo quando a telemetria de execução e rede é limitada. A prioridade é tratar qualquer máquina que tenha seguido a instrução como possível ponto de entrada: isole o host, preserve evidências e investigue credenciais e conexões internas antes de apenas apagar os arquivos.
O que foi observado
A Microsoft descreveu o TerminalFix como uma variação da técnica ClickFix. O usuário vê uma sobreposição que imita uma verificação legítima e recebe instruções para colar no terminal um comando copiado para a área de transferência. O método explora uma decisão humana, não uma falha no CAPTCHA. A aparência de uma etapa de validação reduz a desconfiança e transforma o próprio usuário em executor do primeiro estágio.
Depois da execução, o comando baixa um arquivo compactado, extrai componentes em um diretório do sistema e inicia um binário legítimo acompanhado de uma biblioteca maliciosa. A biblioteca é carregada por desvio de DLL, o que permite que uma aplicação assinada seja usada como veículo para código não confiável. Esse detalhe é relevante para a defesa: bloquear apenas executáveis sem assinatura não cobre a cadeia observada.
A técnica não é isolada. Em um alerta sobre o grupo Interlock, a CISA registrou o uso de páginas falsas de CAPTCHA que orientam a vítima a abrir uma janela do Windows, colar o conteúdo da área de transferência e executar PowerShell malicioso. O caso TerminalFix muda o estágio operacional e amplia a intrusão, mas confirma que o abuso de instruções de copiar e colar deve ser tratado como sinal de engenharia social com potencial de execução local.
Por que o risco aumenta
O estágio seguinte esconde cargas em imagens PNG e recompõe os componentes no computador. A esteganografia não torna o tráfego invisível: o download de imagens a partir de domínios incomuns, seguido de gravação em diretórios de sistema e execução de processos filhos, cria uma sequência que pode ser detectada. O problema surge quando a equipe procura somente arquivos com extensões executáveis ou indicadores estáticos.
A persistência combina chaves de execução automática no Registro com tarefas agendadas. A campanha também realiza reconhecimento do domínio, incluindo relações de confiança, grupos administrativos, usuários do Active Directory, computadores e servidores que respondem na rede. Para o defensor, isso muda a classificação do incidente. Não é apenas um infostealer em uma estação: o host pode ter sido preparado para servir de observador e ponto de passagem dentro da rede.
O componente final estabelece um túnel reverso sobre WebSocket criptografado. Esse canal permite transportar tráfego TCP por meio da máquina comprometida, oferecendo ao operador um caminho para alcançar serviços internos a partir da infraestrutura externa. A Microsoft informou que não observou, na cadeia analisada, as ações posteriores que poderiam incluir escalada, desativação de controles, exfiltração ou ransomware. Portanto, esses desdobramentos devem ser tratados como risco a investigar, não como fato consumado.
Decisão para o SOC
Um alerta isolado de PowerShell não basta para confirmar o TerminalFix. A confiança aumenta quando aparecem, em sequência próxima, execução iniciada por navegador, download de arquivo compactado, criação de tarefa agendada, uso de binário legítimo com DLL incomum, coleta de informações do domínio e conexão persistente para um destino externo. O SOC deve correlacionar processo, arquivo, identidade, DNS, proxy e autenticação do host.
| Sinal | Verificação | Decisão |
|---|---|---|
| PowerShell após navegação | Identificar o processo pai, linha de comando e usuário | Priorizar triagem do endpoint |
| DLL ao lado de binário assinado | Comparar assinatura, caminho, hash e horário de criação | Isolar se o conjunto for inesperado |
| PNG baixado antes de nova execução | Correlacionar URL, resposta HTTP e gravação local | Preservar arquivos e tráfego |
| Tarefa ou chave Run nova | Verificar autor, comando, usuário e recorrência | Remover só após coleta forense |
| WebSocket externo persistente | Mapear destino, processo proprietário e volume | Bloquear o destino e caçar pares semelhantes |
Ações P1 e P2
P1: isole o equipamento sem desligá-lo quando a coleta de memória for viável. Suspenda sessões ativas, revogue tokens e redefina credenciais usadas no host, começando por contas administrativas e identidades com acesso a servidores. Bloqueie temporariamente destinos associados ao túnel e preserve DNS, proxy, firewall e telemetria do endpoint. Procure o mesmo comando, caminho de extração, nome de tarefa, biblioteca e domínio em toda a frota.
P1: examine relações de confiança e autenticações originadas da máquina. O reconhecimento do Active Directory pode anteceder tentativas de movimentação lateral, mas não prova que elas ocorreram. Verifique acessos administrativos, criação de processos remotos, alterações de grupos, uso anormal de compartilhamentos e conexões para servidores que normalmente não se comunicam com aquela estação.
P2: impeça que navegadores e usuários tratem instruções de copiar e colar como verificação de segurança. Bloqueios de execução devem ser acompanhados por política e treinamento: uma página web nunca precisa que o usuário cole um comando no PowerShell para validar sua identidade. Reduza a capacidade de usuários comuns iniciarem scripts, aplique regras de controle de aplicações e monitore PowerShell com registro de bloco de script e linha de comando.
Também vale criar uma detecção comportamental para a cadeia completa, em vez de depender de um único indicador. O alerta deve combinar navegador ou processo de usuário com PowerShell, download de arquivo compactado, carregamento de DLL fora de diretórios esperados, criação de persistência e conexão WebSocket externa. A regra precisa gerar contexto suficiente para separar automação legítima de uma estação que acabou de visitar um site comprometido.
O que não fazer
Não restaure o computador a partir de uma imagem antes de preservar os artefatos necessários à investigação. Isso pode apagar a origem da execução, o usuário afetado e os caminhos usados para chegar ao domínio. Também não encerre a análise porque o antivírus removeu um arquivo. O túnel, as credenciais expostas e possíveis acessos feitos antes da remoção continuam exigindo resposta.
Da mesma forma, não bloqueie apenas a marca falsificada exibida no CAPTCHA. A infraestrutura pode mudar, e a técnica depende da indução ao comando, não de um único domínio. O controle durável é reduzir a possibilidade de execução, registrar o comportamento e confirmar qualquer solicitação técnica por um canal independente.
Fontes
Análise da Microsoft sobre o TerminalFix e alerta da CISA sobre o uso de ClickFix pelo Interlock sustentam a descrição da técnica e das ações defensivas. Para contexto operacional, consulte também como ataques de identidade exploram fluxos legítimos de login e como estruturar logs para detectar ataques.
O ponto central para a equipe é simples: uma instrução de “verificação” que pede a execução de comandos deve ser tratada como tentativa de execução arbitrária. No TerminalFix, a consequência observada pode ultrapassar o comprometimento de uma estação e abrir um caminho persistente para a rede interna.