TerminalFix: Ein falsches CAPTCHA öffnet den Weg ins Firmennetz

Microsoft legte am 28. August 2026 eine aktive TerminalFix-Kampagne offen, die Organisationen aus mehreren Branchen trifft. Laut der Analyse von Microsoft Security Research blenden kompromittierte Websites eine gefälschte Cloudflare-Prüfung ein und verleiten Besucher dazu, einen PowerShell-Befehl in Windows Terminal oder PowerShell einzufügen und auszuführen.

Die am 28. August dokumentierte Angriffskette beginnt nicht allein mit dem Aufruf der Seite: Erst der ausgeführte Befehl lädt weitere Komponenten und kann einen verschlüsselten Reverse-Tunnel einrichten. Eine am 30. August veröffentlichte Zusammenfassung von The Hacker News beschreibt denselben Ablauf vom falschen CAPTCHA über DLL-Sideloading und Netzwerkerkundung bis zum Tunnel in erreichbare interne Systeme.

Der entscheidende Schritt erfolgt außerhalb des Browsers

TerminalFix nutzt beim dokumentierten Einstieg keine automatisch ausgelöste Softwarelücke. Die präparierte Website imitiert zunächst eine Cloudflare-Turnstile-Prüfung. Nach der Interaktion kopiert sie unbemerkt einen schädlichen PowerShell-Befehl in die Zwischenablage und fordert dazu auf, Windows Terminal oder PowerShell zu öffnen, den Inhalt einzufügen und mit der Eingabetaste auszuführen.

Diese Grenze zwischen Browser und Betriebssystem ist das deutlichste Warnzeichen. Eine reguläre CAPTCHA-Prüfung verlangt keinen Konsolenbefehl. Sobald eine Website Tastenkombinationen zum Öffnen eines Terminals oder das Einfügen eines angeblichen Verifizierungscodes fordert, handelt es sich nicht mehr um eine normale Prüfung im Browser.

Nach der Ausführung zeigt das Skript beruhigende Cloudflare-Meldungen im Terminal an. Gleichzeitig lädt es ein ZIP-Archiv in ein Verzeichnis unter ProgramData, entpackt es und startet eine Batch-Datei im Hintergrund. Eine grüne Bestätigung im Terminal belegt daher keine erfolgreiche Sicherheitsprüfung, sondern gehört zur Täuschung.

So wird der Rechner zum Netzwerk-Drehpunkt

Das geladene Archiv enthält die legitime, digital signierte Windows-Datei LockScreenContentServer.exe und eine bösartige Datei namens dui70.dll. Liegen beide im selben ungewöhnlichen Verzeichnis, lädt das vertrauenswürdig wirkende Programm die manipulierte DLL. Dieses DLL-Sideloading verlagert die Ausführung in einen signierten Prozess, ohne die benachbarte DLL vertrauenswürdig zu machen.

Die nächste Stufe lädt Daten, die in PNG-Dateien verborgen sind, und setzt daraus weitere Komponenten zusammen. TerminalFix richtet anschließend zwei Wege zur dauerhaften Ausführung ein: einen Registry-Run-Eintrag und eine geplante Aufgabe, die LockScreenContentServer.exe regelmäßig erneut startet. Danach folgen Abfragen nach Domänen-Vertrauensstellungen, Administratoren, Benutzern, Computern und erreichbaren Servern.

Schließlich lädt die Kette eine portable Python-Laufzeit und den eigenen Client client.py. Dieser verbindet sich über TLS und WebSocket mit der Infrastruktur der Angreifer und kann beliebige TCP-Verbindungen zu Systemen weiterleiten, die vom betroffenen Rechner erreichbar sind. Damit kann ein ausgeführter TerminalFix-Befehl den Rechner zum Zugangspunkt in das interne Netz machen.

Drei Nutzerhandlungen, drei Reaktionen

Ob bereits eine Kompromittierung anzunehmen ist, hängt davon ab, wie weit die Anweisung befolgt wurde. Die Handlungsempfehlungen von Gridinsoft unterscheiden deshalb zwischen dem bloßen Anzeigen der Seite, dem Einfügen des Befehls und seiner tatsächlichen Ausführung.

1. Seite nur gesehen: Den Tab schließen und die Zwischenablage durch das Kopieren eines harmlosen Textes überschreiben. In der dokumentierten Kette startet das bloße Anzeigen der Seite den Downloader nicht.
2. Befehl eingefügt, aber nicht ausgeführt: Das Terminal schließen, ohne die Eingabetaste zu drücken. Adresse und Zeitpunkt der verdächtigen Seite können für die zuständige IT-Sicherheit festgehalten werden; der Befehl sollte nicht nachträglich zu Testzwecken gestartet werden.
3. Befehl ausgeführt: Den Rechner von LAN und WLAN trennen und bei einem Firmengerät sofort das Sicherheitsteam informieren. Dateien und Protokolle sollten zunächst erhalten bleiben, weil sie Aufschluss über Persistenz, Netzwerkerkundung und Tunnelverbindungen geben können.

Nach einer Ausführung reicht ein einzelner Schnellscan nicht aus, um die dokumentierte Kette auszuschließen. Die Untersuchung sollte PowerShell-Protokolle, neue Verzeichnisse unter ProgramData, Registry-Run-Einträge, geplante Aufgaben, Prozessverläufe und ausgehende Verbindungen umfassen. Zugangsdaten, die auf dem Gerät verfügbar waren, sollten von einem sauberen System aus geändert werden.

Diese Spuren grenzen den Vorfall ein

Ein wichtiger Indikator ist LockScreenContentServer.exe außerhalb der üblichen Windows-Verzeichnisse, besonders zusammen mit dui70.dll, Batch-Dateien oder einer portablen Python-Laufzeit unter ProgramData. Die gültige Signatur der EXE entlastet diesen Fund nicht: Gerade die legitime Datei dient in der beobachteten Kette als Träger für das Laden der bösartigen DLL.

Weitere Hinweise sind Registry- oder Aufgabenplaner-Einträge mit einem an LockScreenContentServer angelehnten Namen, ein PowerShell-Prozess zur Verarbeitung lokaler Befehlsdateien sowie pythonw.exe mit client.py und Tunnel-Parametern. Als Netzindikatoren wurden gitnow[.]dev, bestsocialmedianewspapper[.]com und offlineupdater[.]com dokumentiert. Ein einzelner historischer Domain-Treffer beweist jedoch ohne passenden Geräte-, Prozess- und Zeitbezug keine vollständige TerminalFix-Infektion.

Die bisherige Beobachtung endet bei Persistenz, Active-Directory-Erkundung, einer Möglichkeit zur asynchronen Befehlsausführung und dem Reverse-Tunnel. Microsoft sah in der analysierten Kette keine nachgelagerte Rechteausweitung, Datenexfiltration oder Ransomware-Ausführung. Diese Folgehandlungen wären über den gewonnenen Zugang grundsätzlich möglich, dürfen aber nicht als bereits eingetreten gelten.

TerminalFix ist damit als bestätigter Zugangs- und Tunnelmechanismus einzuordnen, nicht als Beleg dafür, dass jede betroffene Organisation bereits Daten verloren hat. Nach einer tatsächlichen Befehlsausführung bleibt zu klären, welche Komponenten auf dem jeweiligen Gerät eingerichtet wurden, wie lange der Tunnel bestand und ob darüber weitere Systeme erreicht wurden.

Lesen Sie auch:

• Neno sammelt 6,6 Millionen Euro ein – Buchhaltung wird zum KI-Dienst
• Substack oder Patreon: Die gleiche Provision, aber ein anderer Engpass
• LibreOffice 26.8 verbessert den Blocksatz – und verzichtet bewusst auf KI