Campanha TerminalFix Utiliza Sites Comprometidos e Túneis Reversos em Ataques Complexos

A campanha TerminalFix representa um salto em complexidade nas táticas de ciberataques. Ela começa de forma enganosa: um falso CAPTCHA do Cloudflare em sites comprometidos leva o usuário a copiar e colar um comando PowerShell malicioso. Esse comando baixa um ZIP que contém um binário legítimo, o LockScreenContentServer.exe, e uma DLL maliciosa, dui70.dll. Aqui, os atacantes usam o DLL sideloading, uma técnica que força o programa legítimo a carregar a biblioteca maliciosa, permitindo que ela execute tarefas como extrair payloads ocultos em imagens PNG via esteganografia.

Uma vez dentro, o TerminalFix não perde tempo. Ele garante sua permanência no sistema via chaves de registro e tarefas agendadas, além de realizar uma extensa varredura para mapear a rede, incluindo Active Directory, trusts e servidores. O ponto crítico é a implantação de um cliente Python que estabelece um túnel reverso TLS WebSocket para o servidor dos atacantes. Isso transforma o dispositivo infectado em um ponto de acesso SOCKS para a rede interna, concedendo aos cibercriminosos um controle profundo e persistente.

A campanha TerminalFix mostra uma evolução notável das variantes anteriores de ClickFix, campanhas que o CEVIU News vem cobrindo desde fevereiro de 2026. Inicialmente, o ClickFix visava principalmente o roubo de informações através de infostealers, como visto na matéria de 23 de fevereiro de 2026, "Novo Ataque ClickFix Visa Carteiras de Criptomoedas". Essas versões entregavam um único tipo de malware e geralmente instruíam as vítimas a usar a caixa de diálogo 'Executar' do Windows.

Agora, o TerminalFix é mais sofisticado. Ele direciona os usuários para o Windows Terminal ou PowerShell, o que facilita a execução de scripts complexos e multi-linha. Em vez de um infostealer simples, a ameaça entrega uma cadeia de ataque multifásica, com DLL sideloading, esteganografia e uma ferramenta personalizada de túnel reverso baseada em Python. Este uso de Python para acesso remoto já havia sido notado na variante 'CrashFix', conforme reportado em 9 de fevereiro de 2026, "Nova variante ClickFix 'CrashFix' implanta Trojan de Acesso Remoto Python", indicando uma preferência dos atacantes por essa linguagem em ferramentas de pós-exploração. A mudança mais significativa é o foco em estabelecer acesso persistente à rede interna, não apenas na extração imediata de dados.

O TerminalFix é uma ameaça séria para qualquer ambiente corporativo, principalmente pela capacidade de estabelecer um túnel reverso para a rede interna. Este túnel transforma o dispositivo comprometido em um pivô, permitindo que os atacantes naveguem e acessem outros sistemas da rede de forma discreta e persistente. Essa capacidade, combinada com a extensa fase de reconhecimento do Active Directory e a coleta de informações, posiciona os atacantes para movimentos laterais, elevação de privilégios e, eventualmente, a exfiltração de dados sensíveis ou a implantação de ransomware.

A utilização de técnicas como DLL sideloading e esteganografia torna a detecção mais difícil, pois as atividades maliciosas se disfarçam sob processos legítimos ou arquivos inofensivos. Para as empresas, isso significa que a vigilância sobre comportamentos anômalos em processos legítimos e o monitoramento de tráfego de rede não padrão são cruciais para identificar e mitigar essa intrusão antes que ela cause danos maiores.