Microsoft describe TerminalFix: CAPTCHA falso, DLL sideloading y túnel cifrado hacia gitnow.dev

Microsoft ha publicado un análisis sobre una variante nueva de campañas “ClickFix” que los investigadores han bautizado como TerminalFix. Según la compañía, el ataque aprovecha sitios web comprometidos para mostrar falsos desafíos tipo Cloudflare CAPTCHA que inducen a visitantes desprevenidos a copiar y ejecutar un comando malicioso en Windows Terminal o PowerShell. El objetivo final es establecer un túnel inverso desde la máquina infectada que permita a los atacantes navegar la red interna de la víctima y ejecutar reconocimiento y movimiento lateral.

Los detalles que Microsoft ha confirmado describen una cadena de ataque en varias fases. Primero, la víctima es dirigida por una página legítima comprometida hacia una pantalla que finge un CAPTCHA y solicita pegar y ejecutar un comando largo en el terminal de Windows. Ese comando descarga un archivo ZIP que contiene un ejecutable legítimo llamado "LockScreenContentServer.exe" junto con una DLL maliciosa "dui70.dll". La técnica aprovechada es la clásica DLL sideloading: Windows carga la DLL maliciosa desde el mismo directorio que el binario legítimo, lo que permite al atacante ejecutar código sin firmar mediante un componente legítimo del sistema.

La DLL sideloaded, según el reporte, extrae cargas útiles adicionales ocultas por esteganografía dentro de imágenes PNG alojadas en dominios externos (Microsoft menciona "bestsocialmedianewspapper[.]com" y "offlineupdater[.]com"). Posteriormente establece persistencia mediante claves Run del Registro y tareas programadas, realiza un amplio reconocimiento de Active Directory —incluyendo enumeración de administradores de dominio, búsquedas de usuarios y equipos y sondeos a servidores con nombre— y finalmente despliega un implante de comando y control desarrollado en Python ("client.py").

El implante Python crea un túnel inverso que encapsula tráfico TCP arbitrario dentro de un canal WebSocket cifrado apuntando a "gitnow[.]dev:443", lo que permite al servidor atacante alcanzar cualquier host accesible desde la máquina comprometida. Microsoft también observó una rutina PowerShell persistente que vigila un archivo de texto en busca de nuevos comandos, los ejecuta con Invoke-Expression y escribe los resultados en un archivo de salida, una técnica que facilita el control remoto silencioso del equipo.

Hechos confirmados por la publicación de Microsoft: la táctica de redirección al terminal en lugar del diálogo Ejecutar (Win+R); la entrega inicial mediante páginas comprometidas con falsos CAPTCHAs; la existencia de un ZIP con LockScreenContentServer.exe y dui70.dll; el uso de esteganografía en PNGs remotos; persistencia por Run keys y tareas programadas; reconocimiento de Active Directory y la presencia de un túnel inverso implementado en Python que usa WebSocket cifrado y conecta a gitnow[.]dev:443.

Aspectos todavía inciertos: Microsoft no atribuye públicamente el ataque a un actor con nombre ni cuantifica el alcance real de compromisos en entornos empresariales. Tampoco está claro cuántas organizaciones fueron afectadas ni si las direcciones y dominios observados siguen activos en el momento de leer este artículo. Además, aunque la técnica es eficaz para ejecutar scripts complejos, la tasa de éxito real frente a redes con controles modernos (AppLocker, WDAC, políticas de ejecución de PowerShell y EDR) puede variar.

El riesgo práctico de TerminalFix reside en la combinación de ingeniería social y tolerancia del sistema a carga binaria legítima. Forzar al usuario a pegar y ejecutar un comando reduce la necesidad de vulnerabilidades de software; el resto de la cadena —sideloading, esteganografía, túnel reverso— le da a los atacantes capacidad para explorar dominios, escalar privilegios y mover cargas útiles adicionales, incluidas herramientas para exfiltrar datos o desplegar ransomware.

Si su organización administra entornos Windows, las medidas recomendadas son concretas y deben priorizarse en este orden práctico. Primero, reduzca la superficie de ataque bloqueando o restringiendo la ejecución de PowerShell y de terminales para usuarios estándar mediante AppLocker, Windows Defender Application Control (WDAC) o políticas de grupo. Microsoft y la documentación oficial ofrecen controles para implementar estas soluciones; consulte la documentación de AppLocker para pasos iniciales en entornos empresariales https://learn.microsoft.com/windows/security/threat-protection/windows-defender-application-control/applocker/applocker-overview.

Segundo, habilite y centralice el registro de PowerShell, en especial el Script Block Logging (Event ID 4104), y registre la actividad de procesos y creación de hilos para que las telemetrías de EDR y SIEM puedan detectar paste-and-run, comandos codificados u obfuscados, y actividad anómala de procesos que llamen a DLL desde ubicaciones fuera de lo normal. Microsoft resume investigaciones y guías en su blog de seguridad; es conveniente revisar sus publicaciones para indicadores de compromiso (IoC) y tácticas observadas https://www.microsoft.com/security/blog/.

Tercero, establezca controles de salida y detección de tráfico: bloquee o aplique inspección a destinos inusuales (por ejemplo, las entidades mencionadas por Microsoft: gitnow[.]dev y los dominios que alojaban PNGs) y monitorice conexiones TLS salientes desde estaciones de trabajo hacia puertos no habituales. Revise también las Run keys del registro (HKCU/HKLM Software\\Microsoft\\Windows\\CurrentVersion\\Run), tareas programadas y ficheros persistentes sospechosos (scripts PowerShell que implementen bucles de archivo), y recoja memoria de máquinas sospechosas antes de apagarlas si sospecha movimiento lateral.

Cuarto, procedimientos de respuesta: aislar inmediatamente cualquier host con evidencias de implantación, bloquear credenciales comprometidas y forzar cambios de contraseñas y sesiones privilegiadas; realizar análisis forense en AD (buscar cuentas nuevas, delegaciones inusuales, cambios en GPOs) y considerar la reconstrucción de sistemas fuertemente comprometidos. Si el incidente sugiere acceso a nivel de red, trate la infraestructura como comprometida hasta demostrar lo contrario.

Finalmente, mitigación laboral y formativa: eduque usuarios sobre no pegar comandos desde páginas web ni ejecutar scripts sin la verificación de personal de TI, y valore deshabilitar el diálogo Ejecutar para perfiles que no lo necesiten o auditar su uso. La combinación de controles técnicos, detección mejorada y formación reduce dramáticamente la probabilidad de que un engaño de tipo CAPTCHA derive en una intrusión profunda.

TerminalFix demuestra que los atacantes continúan explotando la interacción humana con el sistema operativo en lugar de depender únicamente de bugs. Aunque muchas de las defensas contra esta campaña son conocidas y aplicables con tecnologías existentes, su eficacia depende de la implementación coherente y la monitorización continua. Revise configuraciones de control de aplicaciones, fortalezca el registro y la telemetría, y prepare playbooks de respuesta para incidentes que involucren túneles inversos y reconocimiento de Active Directory.