Il CAPTCHA finto apre un varco persistente nella rete
Microsoft Threat Intelligence ha osservato la campagna TerminalFix, una variante di ClickFix, che porta gli utenti a eseguire PowerShell in Windows Terminal invece del normale box Esegui. Il cambio sembra piccolo. In pratica rende più affidabili gli script multilinea e allarga il danno oltre il singolo infostealer.
Microsoft descrive una catena a più stadi: un sito compromesso mostra un falso CAPTCHA, il comando scarica un archivio con un binario legittimo e una DLL malevola, poi parte il sideloading. Da lì seguono estrazione del payload da immagini, persistenza su Registry Run e scheduled task, ricognizione Active Directory e un reverse-tunnel che dà all’attaccante accesso proxy persistente verso la rete interna.
Per chi difende utenti Windows, il punto non è solo il click su una pagina falsa. È che un browser può diventare il varco per comandi eseguiti dentro strumenti legittimi di amministrazione, con capacità di pivot e movimento laterale già nella fase iniziale.