LONDON (IT BOLTWISE) – Der Windows-Vektor TerminalFix setzt auf Social Engineering, um Nutzer zum Ausführen eines PowerShell-Kommandos in Windows Terminal oder PowerShell zu bewegen. Als Einstieg dienen gefälschte Cloudflare-CAPTCHA-Checks, die Besucher zum Kopieren und Starten eines schädlichen Befehls verleiten. Dahinter steckt eine mehrstufige Kette mit DLL-Sideloading, Active-Directory-Recon und einem Reverse-Tunnel-Backdoor, der Netzwerkzugriff aus dem Zielsystem ermöglicht. Microsoft empfiehlt unter anderem strengere AppLocker- und PowerShell-Logging-Regeln, um solche Abläufe zu stoppen.
TerminalFix zeigt, wie stark sich ClickFix-Kampagnen inzwischen vom ursprünglichen Muster „Run-Dialog öffnen, Befehl einfügen“ lösen. Laut den von Microsoft beschriebenen Details zielt die Variante nicht primär auf den Windows-Ausführen-Dialog (Win+R), sondern auf die Stelle, an der Nutzer typischerweise sowieso Skripte testen: Windows Terminal oder direkt PowerShell. Genau dadurch steigen die Chancen, dass auch komplexe, mehrzeilige Skripte tatsächlich im gewünschten Kontext ausgeführt werden. Für Sicherheitsverantwortliche ist das ein Signal, dass „nur der klassische Run-Dialog“ als Detektions- oder Präventionspunkt nicht mehr ausreicht.
Der Einstieg arbeitet dabei nicht mit einem offensichtlichen Download, sondern mit einem vorgeschalteten Social-Engineering-Schritt über kompromittierte Webseiten. Microsoft ordnet den Ablauf als mehrstufige Attack Chain ein, die Besucher zuerst in eine gefälschte Cloudflare-CAPTCHA-Interaktion führt und anschließend dazu bringt, eine bösartige PowerShell-Zeile manuell zu kopieren und auszuführen. Technisch ist der entscheidende Punkt, dass diese manuelle Aktion die Hürde für die Angreifer senkt: Die Opfer handeln gewissermaßen als „Execution Proxy“, während die Kampagne im Hintergrund die eigentliche Nutzlast nachlädt. Dadurch kann sich die Kampagne zudem an unterschiedliche Browser-/Sicherheitskontexte anpassen, weil der kritische Schritt als Nutzeraktion statt als automatisierter Exploit wirkt.
Nach dem Start entkoppelt TerminalFix die eigentliche Kompromittierung in mehrere Schritte, die jeweils eigene Schwachstellen und Analyseflächen bedienen. Das PowerShell-Kommando lädt ein ZIP-Archiv nach, das sowohl eine scheinbar legitime ausführbare Datei als auch eine auffällige DLL enthält: Eine Datei namens „LockScreenContentServer.exe“ sowie die Rogue-DLL „dui70.dll“. Microsoft beschreibt, dass anschließend DLL sideloading greift: Die nachgeladene DLL übernimmt die nächste Phase, extrahiert weitere Payloads aus PNG-Bildern, die auf externen Domains gehostet werden, und baut damit eine Form von In-Band-Versteckmechanik ein. Für die Erkennung ist das relevant, weil Netzwerk- und Dateisignaturen allein oft zu kurz greifen: Steganografie-ähnliche Extraktion aus Bilddateien macht die „eigentliche“ Nutzlast erst spät sichtbar.
Die so nachgeladenen Komponenten liefern laut Microsoft nicht nur eine einmalige Ausführung, sondern eine persistente, zugleich erkundende und steuerbare Infrastruktur. TerminalFix etabliert Persistenz über Registry Run Keys und geplante Tasks, führt umfassende Active-Directory-Recon aus und pingt benannte Systeme, um die Topologie im internen Netz abzubilden. Zusätzlich kommt ein Python-basiertes Reverse-Tunnel-Implant zum Einsatz, das willkürlichen TCP-Verkehr über einen verschlüsselten WebSocket-Kanal zu attacker-kontrollierter Infrastruktur (genannt wird „gitnow[.]dev: 443“) zurückleitet. Praktisch bedeutet das: Ein kompromittierter Host wird zu einem Brückenknoten, über den das Zielnetz aus der Perspektive des Angreifers „erreichbar“ wird, selbst wenn klassische Perimeter-Controls den direkten Zugriff abweisen würden.
Interessant ist außerdem, wie TerminalFix das spätere Betriebsmodell vorbereitet. Microsoft nennt einen persistenten PowerShell-Datei-„Watch Loop“, der eine Textdatei auf neue Befehle überwacht, diese per Invoke-Expression ausführt und Ergebnisse wieder in eine Output-Datei schreibt. Damit entsteht ein Muster, das weniger wie ein einzelner Angriffs-„Sprung“ wirkt und mehr wie eine laufende Fernbedienung mit lokalen Zwischenschritten. Genau solche Loops sind im Incident Response oft schwerer als ein einmaliges Skript, weil sie Wiederholung, Zustandsmanagement und Command-Execution in einem konsistenten Ablauf bündeln.
Für Unternehmen ist die operative Konsequenz klar: TerminalFix verbindet Social Engineering mit einem Backdoor-Setup, das Netzwerk-Level-Proxys ermöglicht und dadurch weitere Ziele innerhalb des Unternehmensnetzwerks ansteuerbar macht. Microsoft warnt explizit vor dem Missbrauch der beobachteten Recon- und Reverse-Tunnel-Fähigkeit, etwa um zusätzliche Systeme zu identifizieren und zu erreichen; außerdem können Angreifer nach diesem Muster Privilegien eskalieren, Sicherheitsmechanismen deaktivieren, Daten exfiltrieren und im nächsten Schritt auch Ransomware ausrollen. In der Praxis heißt das für die Härtung nicht nur „mal ein Detektionsregel-Update“, sondern die konsequente Reduktion ausführbarer Interpreterpfade: Microsoft empfiehlt, die Ausführung von PowerShell und Run-Dialog-Aktionen für Standardnutzer zu beschränken (zum Beispiel via AppLocker, Application Control for Windows oder Group Policy). Daneben sollte man den Windows Run-Dialog nur dort zulassen, wo er wirklich benötigt wird, und DLL-sideloading-indikatoren sowie Datei- und Task-Artefakte überwachen. Ebenso wichtig ist PowerShell Script Block Logging, um obfuskierten oder encoded Command-Content besser nachverfolgen und später analysieren zu können.
Auch für Teams, die bereits Threat-Modeling für „klassische“ Initialzugriffe betreiben, verschiebt TerminalFix die Prioritäten. Neben dem technischen Pfad über DLL-Sideloading und Bild-basierte Payload-Extraktion wird deutlich, dass die menschliche Ausführungshürde der bequemste Hebel bleibt: gefälschte CAPTCHA-Aufforderungen plus manuelle Befehlsausführung in Terminal/PowerShell. Entsprechend sollten Schulungen nicht nur auf „ClickFix“ im engen Sinn fokussieren, sondern klar erklären, warum Nutzeranweisungen „zum Kopieren und Starten“ selbst dann riskant bleiben, wenn sie über scheinbar bekannte Sicherheits-/Cloud-Symbole präsentiert werden. Gleichzeitig lohnt es sich, die Protokollierung und Antwortprozesse so zu gestalten, dass man die mehrstufigen Artefakte frühzeitig erkennt – bevor der Reverse-Tunnel und die interne Erkundung ihre Wirkung entfalten. In der Sicherheitslandschaft steht damit weniger die Frage „ob“ es solche Kampagnen gibt, sondern „wie schnell“ man die Kette zwischen Nutzeraktion, PowerShell-Ausführung und netzwerkseitigem Implant-Setup unterbricht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TerminalFix: Fake Cloudflare CAPTCHA und Reverse-Tunnel als Windows-Backdoor" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TerminalFix: Fake Cloudflare CAPTCHA und Reverse-Tunnel als Windows-Backdoor" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TerminalFix: Fake Cloudflare CAPTCHA und Reverse-Tunnel als Windows-Backdoor« bei Google Deutschland suchen, bei Bing oder Google News!