Minacce · 43 giorni fa
Microsoft Threat Intelligence ha osservato la campagna TerminalFix, una variante di ClickFix, che porta gli utenti a eseguire PowerShell in Windows Terminal invece del normale box Esegui. Il cambio sembra piccolo. In pratica rende più affidabili gli script multilinea e allarga il danno oltre il singolo infostealer.
Microsoft descrive una catena a più stadi: un sito compromesso mostra un falso CAPTCHA, il comando scarica un archivio con un binario legittimo e una DLL malevola, poi parte il sideloading. Da lì seguono estrazione del payload da immagini, persistenza su Registry Run e scheduled task, ricognizione Active Directory e un reverse-tunnel che dà all’attaccante accesso proxy persistente verso la rete interna.
Per chi difende utenti Windows, il punto non è solo il click su una pagina falsa. È che un browser può diventare il varco per comandi eseguiti dentro strumenti legittimi di amministrazione, con capacità di pivot e movimento laterale già nella fase iniziale.
5 fonti che coprono questa storia
'TerminalFix' Campaign Weaponizes PowerShell for Enterprise Attacks
The ClickFix-style campaign features a sophisticated, multistage attack chain that includes reverse tunnels into victim organizations' networks.
Attack hides malware in PNGs and drops custom reverse tunnel on victims' machines
Next-level ClickFix wave sets off multi-stage attack chain
Microsoft warns of TerminalFix attacks deploying reverse tunnels
A new ClickFix variant dubbed TerminalFix uses fake Cloudflare CAPTCHA prompts on compromised websites to trick victims into running malicious PowerShell commands in Windows Terminal.
TerminalFix Uses Fake Cloudflare CAPTCHAs to Deploy Reverse-Tunnel Backdoor
Microsoft says TerminalFix uses fake Cloudflare CAPTCHAs to trigger PowerShell and deploy a reverse-tunnel backdoor for internal network access.
TerminalFix campaign deploys a reverse tunnel through multistage intrusion | Microsoft Security Blog
Microsoft Threat Intelligence provides analysis of a ClickFix campaign that uses fake CAPTCHA prompts, DLL sideloading, and a reverse tunnel, with detections and hunting guidance.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-01