TerminalFix: novo ataque usa falso CAPTCHA para criar acesso à rede corporativa

A Microsoft identificou uma campanha sofisticada que evolui a técnica de engenharia social conhecida como ClickFix. O ataque, batizado de TerminalFix, exibe um falso CAPTCHA do Cloudflare em sites comprometidos e convence a vítima a colar um comando malicioso no Windows Terminal ou PowerShell. Diferente de ataques anteriores, essa variante explora ferramentas administrativas legítimas para contornar defesas tradicionais, já que o usuário mesmo fornece a autorização para executar o código.

Após a execução inicial, a campanha estabelece uma cadeia de infecção em múltiplas etapas: baixa um ZIP contendo um executável legítimo e uma DLL maliciosa, usa DLL side-loading para ocultar o malware, implementa esteganografia em imagens PNG para esconder a carga útil, estabelece persistência no Windows e finalmente cria um túnel reverso que transforma o computador comprometido em ponto de acesso à rede interna. A Microsoft observou a campanha em organizações de diferentes setores, mas não registrou explorações manuais posteriores neste momento.