Pesquisadores da Microsoft identificaram uma nova campanha de engenharia social baseada na tática ClickFix, batizada de TerminalFix, que engana usuários para executarem comandos maliciosos diretamente no PowerShell ou no Windows Terminal, abrindo caminho para uma invasão profunda em redes corporativas.
A estratégia se aproveita de páginas fraudulentas ou comprometidas que exibem falsos CAPTCHAs da Cloudflare. Para supostamente concluir a verificação, a vítima recebe a instrução de abrir o Terminal do Windows ou o PowerShell e colar um comando previamente copiado para a área de transferência. Em instalações modernas do Windows, o Terminal abre por padrão dentro do ambiente PowerShell, o que permite a execução de scripts extensos e complexos com menos falhas.
Cadeia de ataque em múltiplas etapas
O comando inicial baixa e executa um arquivo ZIP contendo uma DLL maliciosa projetada para sideloading, técnica que se aproveita de aplicações legítimas para carregar códigos nocivos. A partir desse ponto, a cadeia de ataque segue com o download de payloads escondidos dentro de imagens PNG por meio de esteganografia, instalação de persistência dupla por chaves no Registro e tarefas agendadas, reconhecimento de domínio e, por fim, a implantação de um implante de comando e controle (C2) baseado em Python.
Esse implante cria túneis reversos que retransmitem tráfego TCP arbitrário de volta para a infraestrutura dos atacantes através de um canal WebSocket criptografado, concedendo acesso direto às redes internas das organizações vítimas.
Segundo os pesquisadores da Microsoft, a fase seguinte envolve ação manual dos criminosos, que utilizam esse acesso para escalar privilégios, desativar controles de segurança, exfiltrar dados sensíveis e distribuir ransomware por toda a infraestrutura comprometida. A combinação de técnicas furtivas, como sideloading de DLL, esteganografia e pastas ocultas, com a persistência no acesso à rede torna a campanha especialmente perigosa para ambientes corporativos.
Controvérsia sobre a nomenclatura
A denominação TerminalFix, porém, gerou debate entre especialistas. Tommy Madjar, pesquisador sênior de ameaças da Proofpoint, argumenta que o uso de janelas de Terminal em ataques ClickFix remonta às primeiras atividades documentadas em 2024. Para ele, um terminal aceita scripts longos e multilinha, mas a mesma intrusão em múltiplas etapas poderia começar com um comando curto colado no Run, sem qualquer distinção relevante em relação a clusters já conhecidos como ClearFake ou ErrTraffic.
Recomendações de defesa
A Microsoft orienta que as organizações restrinjam a execução do PowerShell e do diálogo Executar para usuários padrão, utilizando ferramentas como Group Policy, Application Control for Windows ou AppLocker. Também recomenda limitar o uso do diálogo Executar quando não for essencial para o trabalho diário e monitorar indicadores de sideloading de DLL.
Madjar enfatiza a importância de treinar os colaboradores para que não executem comandos copiados de sites não confiáveis, bloquear domínios maliciosos antes que os usuários os acessem e manter sistemas de detecção para casos em que a prevenção falhar. Restrições amplas ao diálogo Executar e ao Terminal, segundo ele, raramente são viáveis na prática, já que muitos softwares legítimos dependem da execução direta de comandos via terminal, como ocorre com o Claude Code, cuja instalação recomendada baixa e executa código sem solicitar inspeção prévia ao usuário.
Com informações de: Dark Reading