Uma nova evolução da técnica de engenharia social ClickFix está colocando usuários do Windows diante de uma ameaça particularmente perigosa: páginas comprometidas exibem falsos CAPTCHAs da Cloudflare e convencem a própria vítima a executar um comando malicioso no Windows Terminal ou PowerShell.
A campanha, identificada pela Microsoft como TerminalFix, vai muito além de um simples malware. Depois da execução inicial, o ataque pode estabelecer persistência no computador, realizar reconhecimento do ambiente corporativo e criar um túnel reverso que permite aos criminosos alcançar recursos da rede interna por meio da máquina comprometida.
O que é o TerminalFix?
O TerminalFix é uma variante da técnica ClickFix, na qual o criminoso utiliza instruções falsas para convencer o usuário a copiar e executar comandos fornecidos por uma página maliciosa.
A diferença está justamente no mecanismo de execução.
Em campanhas tradicionais de ClickFix, a vítima costuma ser orientada a abrir a caixa Executar (Win+R) e colar um comando. No TerminalFix, os criminosos direcionam o usuário para o Windows Terminal ou PowerShell, ambientes muito mais adequados para a execução de comandos e scripts complexos.
Isso transforma uma simples interação com uma página da web em uma possível intrusão no endpoint.
O golpe começa com um falso Cloudflare Turnstile
O ataque começa em um site legítimo que foi comprometido pelos criminosos.
Ao acessar a página, o conteúdo original pode ser substituído por uma sobreposição que imita o Cloudflare Turnstile, mecanismo utilizado para verificar se o visitante é humano.
A interface falsa apresenta elementos visualmente convincentes, como:
- logotipo da Cloudflare;
- mensagem de verificação;
- caixa semelhante a um CAPTCHA;
- animações e mensagens de processamento;
- instruções para concluir a suposta verificação.
O problema aparece na etapa seguinte.
Em vez de simplesmente concluir a verificação no navegador, a vítima é instruída a abrir o Windows Terminal ou PowerShell e colar um comando que teria sido copiado durante o processo.
É nesse momento que o golpe deixa de ser apenas uma página maliciosa e passa a depender da engenharia social para obter execução no sistema.
🚨 Um CAPTCHA legítimo não precisa do PowerShell
Essa é uma das informações mais importantes para usuários comuns.
Uma página que solicita que você:
abra o PowerShell, Windows Terminal, Prompt de Comando ou Executar e cole um comando para “verificar que você é humano”
deve ser considerada altamente suspeita.
A verificação CAPTCHA acontece no navegador. Ela não exige que o usuário execute comandos no sistema operacional.
O que acontece depois que a vítima executa o comando?
A partir da execução, a campanha observada pela Microsoft inicia uma cadeia de comprometimento composta por várias etapas.
O primeiro estágio utiliza PowerShell para baixar um arquivo compactado contendo componentes necessários para o próximo estágio do ataque.
Entre eles está um executável legítimo do Windows acompanhado de uma DLL maliciosa.
Essa combinação é utilizada em uma técnica conhecida como DLL sideloading.
O que é DLL sideloading?
O Windows permite que determinados programas carreguem bibliotecas DLL durante sua execução.
Em um ataque de DLL sideloading, o criminoso coloca uma DLL maliciosa em uma localização onde um programa legítimo possa carregá-la.
Assim, um executável legítimo pode acabar servindo como “carregador” para código controlado pelo invasor.
No caso do TerminalFix, a Microsoft identificou o uso do executável legítimo LockScreenContentServer.exe juntamente com uma DLL maliciosa chamada dui70.dll.
Essa técnica torna a detecção mais complicada porque parte da cadeia envolve componentes legítimos do próprio sistema.
Malware escondido dentro de imagens PNG
A campanha apresenta outra técnica interessante: esteganografia.
Depois do sideloading da DLL, o malware utiliza imagens PNG hospedadas em infraestrutura controlada pelos atacantes.
À primeira vista, são apenas imagens.
Entretanto, dados maliciosos são escondidos dentro dos próprios arquivos de imagem e posteriormente extraídos pelo malware.
Essa técnica é conhecida como esteganografia, ou seja, a utilização de um arquivo aparentemente inocente para transportar informações ocultas.
A estratégia dificulta análises superficiais porque um arquivo PNG pode parecer completamente normal quando analisado apenas como imagem.
Persistência: o malware tenta sobreviver ao reinício
O TerminalFix também não depende necessariamente de uma única execução.
Segundo a Microsoft, a campanha utiliza mecanismos de persistência, incluindo:
- chaves de inicialização do Registro;
- tarefas agendadas;
- execução recorrente dos componentes maliciosos.
Isso significa que, depois que o computador é comprometido, o malware pode tentar permanecer ativo mesmo após uma reinicialização.
Para uma organização, essa característica aumenta significativamente o impacto de um incidente.
Uma máquina que aparentemente voltou ao funcionamento normal pode continuar comprometida em segundo plano.
O invasor começa a mapear o ambiente corporativo
Depois de estabelecer persistência, o malware realiza reconhecimento do ambiente, especialmente em redes corporativas.
A Microsoft observou atividades relacionadas a:
- informações do sistema;
- relações de confiança do domínio;
- descoberta de administradores;
- pesquisa de usuários do Active Directory;
- identificação de computadores;
- descoberta de servidores;
- mapeamento da topologia da rede.
Esse comportamento é particularmente preocupante porque o objetivo deixa de ser apenas infectar um computador.
O invasor passa a descobrir o que existe ao redor daquela máquina.
Em um ambiente corporativo, isso pode revelar servidores, estações, estruturas do Active Directory e outros recursos que podem se tornar alvos de uma segunda etapa do ataque.
O componente mais perigoso: um túnel reverso
O estágio final observado pela Microsoft envolve um implante baseado em Python capaz de estabelecer um túnel reverso.
Em termos simples, imagine que um computador dentro da empresa estabelece uma conexão de saída com o servidor do atacante.
Em vez de simplesmente receber comandos tradicionais, essa conexão pode funcionar como uma ponte entre a infraestrutura do criminoso e a rede interna acessível pela máquina comprometida.
O resultado é potencialmente muito mais grave do que uma infecção isolada.
O invasor pode utilizar o computador comprometido como um ponto de acesso à rede interna.
A Microsoft descreve o mecanismo como capaz de transportar tráfego TCP através de um canal WebSocket criptografado, permitindo que a infraestrutura controlada pelo atacante alcance sistemas que estejam acessíveis a partir do equipamento infectado.
Em outras palavras:
Internet → infraestrutura do atacante → computador comprometido → rede interna
Essa arquitetura pode permitir que uma máquina aparentemente comum se transforme em uma espécie de ponte para dentro da organização.
Por que o TerminalFix é tão perigoso?
O principal problema não está em uma vulnerabilidade específica do Windows.
O ataque explora principalmente comportamento humano.
Não é necessário convencer a vítima de que deve baixar um arquivo chamado “malware.exe”.
Em vez disso, o criminoso cria uma situação familiar:
“Confirme que você é humano.”
A vítima acredita estar realizando uma tarefa normal de segurança e, sem perceber, acaba executando código fornecido pelo atacante.
Esse tipo de ataque explora a confiança que os usuários possuem em elementos visuais conhecidos, como a marca Cloudflare, mensagens de CAPTCHA e interfaces do próprio Windows.
TerminalFix não é simplesmente “mais um vírus”
A cadeia observada pela Microsoft combina diferentes técnicas:
Engenharia social → PowerShell → DLL sideloading → esteganografia → persistência → reconhecimento do Active Directory → túnel reverso
Essa combinação demonstra uma evolução importante das campanhas ClickFix.
Em vez de simplesmente instalar um infostealer e roubar credenciais, o objetivo pode ser estabelecer uma presença mais profunda no ambiente comprometido.
A própria Microsoft alerta que um acesso desse tipo pode criar condições para ações posteriores, como escalada de privilégios, desativação de controles de segurança, exfiltração de informações e ataques de ransomware.
Importante: isso representa riscos potenciais de continuidade do ataque. A análise da Microsoft não deve ser interpretada como evidência de que todas essas ações foram observadas nessa campanha específica.
Como se proteger do TerminalFix?
1. Nunca execute comandos fornecidos por páginas da internet
Essa é a principal recomendação.
Se uma página solicitar que você copie alguma coisa e cole no:
- PowerShell;
- Windows Terminal;
- Prompt de Comando;
- Win+R;
- ferramentas de desenvolvedor;
pare imediatamente.
Não execute.
2. Desconfie de “CAPTCHAs” que exigem comandos
Um CAPTCHA legítimo não precisa transformar o usuário em operador de terminal.
Se a suposta verificação disser algo como:
“Abra o PowerShell e cole este comando”
trate como tentativa de golpe.
3. Empresas devem monitorar PowerShell
Ambientes corporativos devem habilitar mecanismos de auditoria e monitoramento do PowerShell, incluindo Script Block Logging, para permitir a investigação de comandos suspeitos.
Também é recomendável utilizar soluções de proteção de endpoint capazes de identificar comportamentos associados a ClickFix e TerminalFix.
4. Restrinja a execução para usuários comuns
Organizações podem utilizar mecanismos como:
- AppLocker;
- Windows Defender Application Control / Application Control;
- Group Policy;
- políticas de redução da superfície de ataque;
- controles de execução de scripts.
O objetivo não é simplesmente bloquear o PowerShell indiscriminadamente, mas reduzir a capacidade de usuários comuns executarem código não autorizado.
5. Monitore DLL sideloading
Ferramentas de segurança devem observar comportamentos incomuns envolvendo executáveis legítimos carregando DLLs localizadas fora dos diretórios esperados.
Esse tipo de comportamento pode ser um indicador importante de comprometimento.
6. Treine os usuários
A conscientização continua sendo uma das principais barreiras contra o ClickFix.
Os funcionários precisam aprender uma regra simples:
Se uma página da internet pedir para você executar um comando no Windows, não execute.
Essa orientação é simples, mas pode impedir toda a cadeia do TerminalFix antes mesmo que o primeiro payload seja baixado.
O que o TerminalFix ensina sobre segurança?
O caso mostra uma mudança importante no cenário de ameaças.
Os criminosos não precisam necessariamente encontrar uma nova vulnerabilidade crítica para comprometer uma organização.
Em alguns casos, basta convencer alguém a clicar, copiar e colar.
O TerminalFix combina interfaces falsas, engenharia social e ferramentas legítimas do próprio Windows para transformar uma ação aparentemente banal em uma cadeia de intrusão sofisticada.
Para usuários domésticos, a principal defesa é não executar comandos recebidos de páginas da internet.
Para empresas, a proteção precisa ir além: monitoramento de PowerShell, Application Control, detecção de DLL sideloading, segmentação de rede, proteção de endpoints e treinamento contínuo dos usuários.
🔐 A regra de ouro
Cloudflare não precisa do seu PowerShell para provar que você é humano.
Se um CAPTCHA pedir que você abra o terminal e cole um comando, feche a página.
Fonte
A análise original foi publicada pela Microsoft Threat Intelligence em 28 de agosto de 2026 e posteriormente repercutida pelo The Hacker News em 30 de agosto de 2026.
Fonte principal: Microsoft Security — TerminalFix campaign deploys a reverse tunnel through multistage intrusion
Via: The Hacker News — TerminalFix Uses Fake Cloudflare CAPTCHAs to Deploy Reverse-Tunnel Backdoor
@bit01tec