Microsoft descreve TerminalFix: CAPTCHA falso, DLL sideloading e túnel criptografado para gitnow.dev

A Microsoft publicou uma análise sobre uma nova variante de campanhas “ClickFix” que os pesquisadores nomearam como TerminalFix. De acordo com a empresa, o ataque aproveita sites comprometidos para mostrar falsos desafios tipo Cloudflare CAPTCHA que induzem visitantes desprevenidos a copiar e executar um comando malicioso no Windows Terminal ou PowerShell. O objetivo final é estabelecer um túnel inverso da máquina infectada que permita aos atacantes navegar a rede interna da vítima e executar reconhecimento e movimento lateral.

Os detalhes que a Microsoft confirmou descrevem uma cadeia de ataque em várias fases. Primeiro, a vítima é dirigida por uma página legítima comprometida para um ecrã que finge um CAPTCHA e pede colar e executar um comando longo no terminal do Windows. Esse comando descarrega um arquivo ZIP que contém um executável legítimo chamado "LockScreenContentServer.exe" juntamente com um DLL maliciosa "dui70.dll". A técnica aproveitada é a clássica DLL sideloading: Windows carrega o DLL maliciosa da mesma pasta que o binário legítimo, o que permite ao atacante executar código sem assinar por um componente legítimo do sistema.

O DLL sideloaded, segundo o relatório, extrai cargas úteis ocultas por esteganografia dentro de imagens PNG alojadas em domínios externos (Microsoft menciona "bestsocialmedianewspapper[.]com" e "offlineupdater[.]com"). Posteriormente estabelece persistência por chaves Run do Registro e tarefas agendadas, realiza um amplo reconhecimento do Active Directory - incluindo enumeração de administradores de domínio, pesquisas de usuários e equipamentos e pesquisas a servidores com nome - e finalmente exibe um implante de comando e controle desenvolvido em Python ("client.py").

O implante Python cria um túnel inverso que encapsula o tráfego TCP arbitrário dentro de um canal WebSocket cifrado apontando para "gitnow[.]dev:443", o que permite ao servidor atacante alcançar qualquer host acessível a partir da máquina comprometida. A Microsoft também observou uma rotina de PowerShell persistente que vigia um arquivo de texto em busca de novos comandos, executando o Invoke-Expression e escreve os resultados em um arquivo de saída, uma técnica que facilita o controle remoto silencioso da equipe.

Atos confirmados pela publicação da Microsoft: a tática de redireccionar o terminal em vez do diálogo Executar (Win+R); a entrega inicial por páginas comprometidas com falsos CAPTCHAs; a existência de um ZIP com LockScreenContentServer.exe e dui70.dll; o uso de esteganografia em PNGs remotos; persistência por Run keys e tarefas agendadas; reconhecimento do Active Directory e a presença de um túnel inverso implementado em Python que usa WebSocket cifrado e liga a gitnow[.]dev:443.

Aspectos ainda incertos: A Microsoft não atribui publicamente o ataque a um ator com nome ou quantifica o alcance real de compromissos em ambientes empresariais. Também não está claro quantas organizações foram afetadas ou se os endereços e domínios observados continuam ativos no momento de ler este artigo. Além disso, embora a técnica seja eficaz para executar programas complexos, a taxa de sucesso real contra redes com controles modernos (AppLocker, WDAC, políticas de execução de PowerShell e EDR) pode variar.

O risco prático do TerminalFix reside em a combinação de engenharia social e tolerância do sistema a carga binária legítima. Forçar o usuário a colar e executar um comando reduz a necessidade de vulnerabilidades de software; o resto da cadeia —sideloading, esteganografia, túnel reverso — dá aos atacantes capacidade para explorar domínios, escalar privilégios e mover cargas úteis adicionais, incluindo ferramentas para exfiltrar dados ou implantar ransomware.

Se a sua organização administra ambientes Windows, as medidas recomendadas são concretas e devem ser priorizadas nesta ordem prática. Primeiro, reduza a superfície de ataque bloqueando ou restringindo a execução de PowerShell e de terminais para usuários padrão mediante AppLocker, Windows Defender Application Control (WDAC) ou políticas de grupo. A Microsoft e a documentação oficial oferecem controles para implementar essas soluções; consulte a documentação do AppLocker para etapas iniciais em ambientes empresariais https://learn.microsoft.com/windows/security/threat-protection/windows- defender-application-control/applocker/applocker-overview.

Segundo, habilite e centralize o registro de PowerShell, em especial o Script Block Logging (Event ID 4104), e registre a atividade de processos e criação de fios para que as telemetrias de EDR e SIEM possam detectar paste-and-run, comandos codificados ou obfuscados, e atividade anómala de processos que liguem a DLL a partir de locais fora do normal. Microsoft resume pesquisas e guias em seu blog de segurança; é conveniente revisar suas publicações para indicadores de compromisso (IoC) e táticas observadas https://www.microsoft.com/security/blog/.

Terceiro, estabeleça controlos de saída e detecção de tráfego: bloquee ou aplique inspeção a destinos invulgares (por exemplo, as entidades mencionadas pela Microsoft: gitnow[.]dev e os domínios que alojavam PNGs) e monitorize conexões TLS salientes a partir de estações de trabalho para portos não habituais. Revise também as Run keys do registo (HKCU/HKLM Software\\ Microsoft\\ Windows\\CurrentVersion\\Run), tarefas programadas e arquivos persistentes suspeitos (scripts PowerShell que implementem loops de arquivo), e recoja memória de máquinas suspeitas antes de as desligar se suspeitar de movimento lateral.

Quarto, procedimentos de resposta: isolar imediatamente qualquer host com evidências de implantação, bloquear credenciais comprometidas e forçar mudanças de senhas e sessões privilegiadas; realizar análise forense em AD (procurar contas novas, delegações incomuns, mudanças em GPOs) e considerar a reconstrução de sistemas fortemente comprometidos. Se o incidente sugere acesso a nível de rede, trate a infraestrutura como comprometida até demonstrar o contrário.

Finalmente, mitigação laboral e formativa: eduque usuários sobre não colar comandos de páginas web ou executar programas sem a verificação de pessoal de TI, e valoriza a desactivação do diálogo Executar para perfis que não necessitem ou auditar seu uso. A combinação de controles técnicos, detecção melhorada e formação reduz dramaticamente a probabilidade de um engano do tipo CAPTCHA derive em uma intrusão profunda.

O TerminalFix demonstra que os atacantes continuam a explorar a interação humana com o sistema operacional em vez de depender apenas de bugs. Embora muitas das defesas contra esta campanha sejam conhecidas e aplicáveis com tecnologias existentes, a sua eficácia depende da implementação coerente e da monitorização contínua. Revise configurações de controle de aplicativos, adicione o registro e a telemetria, e prepare playbooks de resposta para incidentes envolvendo túneis inversos e reconhecimento do Active Directory.