CAPTCHA palsu membuka jalan ke jaringan kantor lewat PowerShell

Pada 28 Agustus 2026, Microsoft Threat Intelligence mengungkap kampanye aktif TerminalFix yang menargetkan organisasi di berbagai industri. Dalam analisis teknis Microsoft, situs yang telah disusupi menampilkan verifikasi Cloudflare palsu, menyalin perintah berbahaya ke clipboard, lalu membujuk pengguna menjalankannya melalui Windows Terminal atau PowerShell.

Setelah perintah dijalankan, rantai serangan dapat memasang persistensi, memetakan lingkungan Active Directory, dan menjadikan komputer korban sebagai jalur menuju sistem internal. Ringkasan Gridinsoft tentang TerminalFix menekankan batas pentingnya: melihat halaman atau menyalin teks belum mengeksekusi muatan, tetapi menekan Enter di terminal memulai kompromi.

CAPTCHA palsu dapat dikenali sebelum perintah berjalan

Tanda paling jelas muncul ketika verifikasi keluar dari browser. Pemeriksaan manusia yang sah diselesaikan pada halaman web; permintaan untuk membuka Windows Terminal, PowerShell, atau kotak Run, menempelkan teks, lalu menekan Enter bukan bagian dari CAPTCHA browser.

Dalam kampanye ini, halaman asli sempat terlihat sebelum tertutup lapisan yang meniru Cloudflare Turnstile. Saat pengguna berinteraksi dengan kotak verifikasi, halaman menaruh perintah PowerShell di clipboard dan menampilkan petunjuk untuk menjalankannya. Pesan berwarna tentang proses verifikasi atau konfirmasi hijau di terminal berasal dari skrip penyerang, bukan dari Cloudflare.

• Verifikasi meminta aplikasi sistem dibuka di luar browser.
• Isi clipboard berubah setelah kotak verifikasi diklik.
• Petunjuk meminta perintah panjang atau beberapa baris ditempelkan ke terminal.
• Terminal menampilkan pesan bertema CAPTCHA seolah-olah proses itu masih menjadi bagian dari halaman web.

Enam tahap membentuk jalur ke jaringan internal

1. Umpan: situs yang disusupi menampilkan lapisan CAPTCHA palsu dan menaruh perintah PowerShell di clipboard.
2. Eksekusi: setelah pengguna menempelkan perintah dan menekan Enter, skrip mengunduh arsip ZIP, mengekstraknya di bawah C:\ProgramData, lalu menjalankan batch file secara tersembunyi.
3. Pemuatan muatan: LockScreenContentServer.exe yang sah dan bertanda tangan memuat dui70.dll berbahaya dari folder yang sama. Tahap berikutnya mengambil gambar PNG, mengekstrak komponen yang disembunyikan dalam data piksel, lalu menyusunnya kembali pada perangkat.
4. Persistensi dan pemetaan: malware membuat Registry Run key serta scheduled task, kemudian mencari domain trust, anggota Domain Admins, komputer, pengguna, dan server yang dapat dijangkau dalam Active Directory.
5. Kendali perintah: loop PowerShell memantau sebuah berkas teks, menjalankan perintah yang ditulis ke dalamnya, dan menyimpan hasil untuk diambil operator.
6. Terowongan balik: implant berbasis Python membuka koneksi WebSocket keluar melalui TLS pada port 443 dan dapat meneruskan koneksi TCP ke host yang terlihat dari komputer korban.

Tahap terakhir mengubah workstation menjadi titik pivot. Server internal tidak harus terbuka langsung ke internet karena operator dapat mencoba menjangkaunya melalui perangkat terinfeksi yang sudah berada di dalam jaringan organisasi.

Jejak yang terlihat belum menunjukkan seluruh jangkauan

Petunjuk awal yang paling mudah diperiksa adalah urutan tindakan pengguna: apakah terminal sempat dibuka, apakah perintah ditempelkan, dan apakah Enter ditekan. Jika perintah berjalan, pengguna mungkin melihat pesan verifikasi palsu sebelum jendela tertutup atau proses melanjutkan pekerjaannya tanpa tampilan yang jelas.

Artefak yang relevan bagi tim keamanan mencakup direktori muatan di C:\ProgramData, LockScreenContentServer.exe yang berjalan dari lokasi selain direktori Windows normal, dui70.dll di sampingnya, serta pythonw.exe yang menjalankan client.py. Registry Run value atau scheduled task baru yang mengarah ke lokasi tidak lazim juga dapat menunjukkan persistensi.

Tidak ditemukannya satu berkas tidak membuktikan perangkat bersih. Rantai yang dianalisis memakai lebih dari satu mekanisme persistensi dan beberapa komponen, sehingga karantina terhadap satu DLL belum memastikan scheduled task, proses lain, atau terowongan telah hilang. Artefak tersebut sebaiknya dipertahankan untuk investigasi, bukan dihapus satu per satu oleh pengguna.

Tindakan awal ditentukan oleh tahap interaksi

Jika hanya melihat halaman: tutup tab dan jangan mengikuti petunjuknya. Belum ada eksekusi dalam rantai yang dipublikasikan, tetapi alamat situs patut dilaporkan kepada pengelola keamanan jika dibuka melalui perangkat organisasi.

Jika kotak diklik atau teks sudah disalin, tetapi Enter belum ditekan: jangan jalankan isi clipboard. Tutup terminal jika sudah terbuka, kosongkan clipboard, dan simpan alamat halaman atau tangkapan layar petunjuk untuk membantu pemeriksaan.

Jika perintah sudah dijalankan: putuskan perangkat dari Wi-Fi dan jaringan kabel, lalu hubungi tim keamanan organisasi. Jangan menghapus folder, scheduled task, riwayat, atau log sebelum diperiksa karena bukti tersebut diperlukan untuk mengetahui apakah persistensi, pemetaan domain, dan terowongan sudah terbentuk. Kredensial yang dapat diakses dari komputer itu perlu diprioritaskan untuk penggantian dari perangkat bersih setelah cakupan insiden ditentukan.

Akses jaringan terkonfirmasi, dampak lanjutan belum

Temuan yang dipublikasikan mencakup rekayasa sosial melalui CAPTCHA palsu, eksekusi PowerShell, DLL sideloading, persistensi, pengintaian Active Directory, kendali perintah, dan reverse tunnel terenkripsi. Analisis tersebut tidak menetapkan bahwa setiap perangkat yang terinfeksi mengalami pencurian data, eskalasi hak akses, atau penyebaran ransomware.

Batas itu tidak mengurangi risiko akses yang sudah terbentuk. Komputer yang menjalankan perintah perlu diperlakukan sebagai potensi titik pivot sampai pemeriksaan menentukan sistem internal, akun, dan koneksi mana yang sempat dapat dijangkau; dampak setelah akses awal tetap harus dibuktikan untuk setiap insiden.

Baca juga:

• FBI lumpuhkan QScan dan QTRouter setelah jaringan pemerintah AS ditembus
• Satu memori palsu bisa menyesatkan agen AI lama setelah sesi berakhir
• Anthropic membuka 250.000 percakapan Claude—tetapi hanya dalam bentuk agregat