Microsoft warnt vor einer neuen Variante der ClickFix-Angriffstechnik. Bei der als TerminalFix bezeichneten Kampagne imitieren kompromittierte Websites eine Cloudflare-Prüfung und bringen Besucher dazu, einen schädlichen Befehl in Windows Terminal oder PowerShell auszuführen. Die anschließende Angriffskette installiert eine Backdoor, die einen verschlüsselten Reverse-Tunnel aus dem betroffenen Rechner in die Infrastruktur der Angreifer aufbaut.
Die Angriffe wurden nach Angaben von Microsoft bei Organisationen aus mehreren Branchen beobachtet. Entscheidend ist dabei eine Einschränkung: TerminalFix nutzt keine veröffentlichte Windows-Sicherheitslücke, die sich durch ein einzelnes Update schließen ließe. Der Einstieg setzt voraus, dass ein Benutzer den angezeigten Befehl kopiert und selbst ausführt. Gelingt das, endet der Angriff allerdings nicht bei einem einzelnen infizierten Arbeitsplatz. Der Reverse-Tunnel kann den Rechner als Zugangspunkt zum erreichbaren internen Netz nutzbar machen.
Das Opfer startet die Angriffskette selbst
Microsoft legte seine Analyse am 29. August 2026 vor. Die manipulierten Websites zeigen eine gefälschte Cloudflare-Turnstile-Verifizierung. Statt lediglich ein Kontrollkästchen anzuklicken, sollen Besucher einen vermeintlichen Prüf- oder Reparaturbefehl kopieren und in einem Terminalfenster ausführen.
So verläuft die TerminalFix-Angriffskette
Die Grafik zeigt den beobachteten Ablauf von der kompromittierten Website über die vom Benutzer gestartete PowerShell-Ausführung bis zum Reverse-Tunnel in das erreichbare interne Netzwerk.
Damit verändert TerminalFix einen zentralen Schritt klassischer ClickFix-Kampagnen. Diese verwiesen häufig auf den Windows-Ausführen-Dialog. Windows Terminal und PowerShell können komplexere, mehrzeilige Skripte zuverlässiger verarbeiten. Die Änderung wirkt zunächst nebensächlich, erweitert aber den Umfang dessen, was Angreifer dem Opfer in einem einzigen Arbeitsschritt unterschieben können.
Eine allgemeine Administratorberechtigung nennt Microsoft nicht als notwendige Voraussetzung. Der eingeschleuste Code läuft zunächst im Kontext des Benutzers, der den Befehl ausführt. Welche Aktionen möglich sind, hängt deshalb auch von dessen Rechten, der PowerShell-Konfiguration und den im Unternehmen durchgesetzten Anwendungskontrollen ab. Eine spätere Ausweitung von Berechtigungen gehört zu den möglichen Folgen des Zugangs, wurde in der veröffentlichten Beschreibung aber nicht als bereits vollzogener Schritt der Angriffskette ausgewiesen.
Vom ZIP-Archiv zur versteckten Nutzlast
Der PowerShell-Befehl lädt ein ZIP-Archiv mit der legitimen Windows-Datei LockScreenContentServer.exe und der manipulierten Bibliothek dui70.dll. Beim Start der legitimen Binärdatei wird die schädliche DLL über DLL-Sideloading in den Prozess geladen. Allein das Vorhandensein von LockScreenContentServer.exe ist daher kein ausreichender Indikator; auffällig ist die Ausführung zusammen mit der fremden DLL aus einem ungewöhnlichen Verzeichnis.
Die DLL ruft weitere Nutzdaten von den Domains bestsocialmedianewspapper[.]com oder offlineupdater[.]com ab. Diese sind steganografisch in PNG-Dateien verborgen. Danach richtet die Malware Persistenz über Registry-Run-Schlüssel und geplante Aufgaben ein.
Zur Angriffskette gehört außerdem eine systematische Erkundung der Windows-Domäne. Gesammelt werden Systeminformationen, Vertrauensbeziehungen zwischen Domänen, Konten mit Domänenadministratorrechten sowie Benutzer und Computer im Active Directory. Abfragen und Ping-Tests gegen benannte Server helfen dabei, die intern erreichbare Umgebung zu kartieren. Zusätzlich wird eine dauerhafte PowerShell-Schleife abgelegt, die eine Textdatei auf neue Befehle überwacht, diese über Invoke-Expression ausführt und die Ergebnisse in eine Ausgabedatei schreibt.
Der Reverse-Tunnel macht den Arbeitsplatz zum Netzzugang
Die zentrale Nutzlast ist das Python-basierte Implantat client.py. Es verbindet sich über einen verschlüsselten WebSocket-Kanal mit gitnow[.]dev:443 und kann beliebigen TCP-Verkehr tunneln. Der kontrollierte Rechner dient damit als Proxy zwischen der Angreifer-Infrastruktur und den Systemen, die aus seiner Position im Unternehmensnetz erreichbar sind.
Das ist operativ schwerwiegender als eine gewöhnliche Fernsteuerung des Endgeräts. Firewalls schützen interne Dienste häufig vor direkten Verbindungen aus dem Internet, erlauben Arbeitsplätzen aber ausgehenden HTTPS-Verkehr und den Zugriff auf interne Server. Der Tunnel dreht diese Vertrauensrichtung praktisch um: Die Verbindung beginnt auf dem kompromittierten Rechner, kann anschließend aber für Zugriffe in das interne Netz verwendet werden. Netzwerksegmentierung und ausgehende Verkehrskontrollen entscheiden deshalb mit darüber, wie weit ein erfolgreicher TerminalFix-Angriff reicht.
Microsoft nennt als mögliche weitere Folgen die Ausweitung von Berechtigungen, das Abschalten von Sicherheitskontrollen, Datendiebstahl und die Verteilung von Ransomware. Das sind mögliche Anschlussaktionen auf Basis des geschaffenen Zugangs, nicht automatisch für jeden beobachteten Fall bestätigte Folgen.
Es gibt keinen Patch, der TerminalFix allein stoppt
Für TerminalFix sind keine CVE, kein CVSS-Wert, keine Liste betroffener Windows-Versionen und keine gepatchte Version angegeben. Das ist kein fehlendes Detail einer klassischen Schwachstellenmeldung, sondern folgt aus dem Angriffsmodell: Missbraucht werden Social Engineering, legitime Systemwerkzeuge und nachgeladener Schadcode.
Microsoft empfiehlt, PowerShell und den Windows-Ausführen-Dialog für Standardbenutzer dort einzuschränken, wo sie betrieblich nicht benötigt werden. Als technische Mittel nennt das Unternehmen AppLocker, Application Control for Windows und Gruppenrichtlinien. PowerShell-Skriptblockprotokollierung sollte aktiviert und zentral ausgewertet werden, damit verschleierte oder kodierte Befehle nicht nur auf dem einzelnen Endgerät Spuren hinterlassen.
Für die Erkennung sind außerdem ungewöhnliche Kombinationen legitimer Programme mit fremden DLLs, neue Registry-Run-Einträge, unerwartete geplante Aufgaben sowie WebSocket-Verbindungen zu nicht freigegebenen Zielen relevant. Die genannten Domains und Dateien können als konkrete Suchansätze dienen, ersetzen aber keine verhaltensbasierte Erkennung: Infrastruktur und Dateinamen lassen sich schneller austauschen als die grundlegende Angriffstechnik.
Nach einer Ausführung reicht das Löschen der Datei nicht
Wer feststellt, dass ein Benutzer den TerminalFix-Befehl ausgeführt hat, sollte den Vorgang nicht als erledigten Download behandeln. Der Rechner kann bereits Persistenz aufgebaut, Domäneninformationen gesammelt und einen Tunnel geöffnet haben. Sinnvoll sind die Isolation des Systems, die Sicherung und Auswertung der PowerShell-, Prozess-, Aufgabenplaner- und Netzwerkprotokolle sowie die Prüfung erreichbarer interner Systeme. Auch die Anmeldedaten des betroffenen Kontos und mögliche Folgeaktivitäten müssen untersucht werden.
Der operative Kern von TerminalFix liegt damit nicht in der täuschend echten CAPTCHA-Seite allein. Die einfache Benutzerhandlung dient nur als Startknopf für eine technisch deutlich aufwendigere Kette. Unternehmen müssen deshalb zwei Ebenen gleichzeitig absichern: Sie müssen verhindern, dass Webseiten Besucher zum Start lokaler Systembefehle bewegen können – und davon ausgehen, dass ein einziger erfolgreicher Aufruf bereits einen Zugang hinter der Netzgrenze geschaffen haben kann.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
