A Microsoft Threat Intelligence divulgou a análise de uma campanha a que chamou TerminalFix, uma variante da técnica de engenharia social ClickFix que usa falsas verificações de CAPTCHA da Cloudflare em sites comprometidos para levar o próprio utilizador a executar um comando PowerShell malicioso. Segundo a empresa, a campanha visa organizações de vários setores e, ao contrário do ClickFix clássico que aponta para a caixa Executar do Windows, direciona as vítimas para o Windows Terminal ou para o PowerShell, aumentando a probabilidade de scripts complexos e de várias linhas serem executados com sucesso. O objetivo final não é apenas roubar credenciais: é instalar um túnel reverso que transforma o computador da vítima num ponto de entrada para a rede interna da organização.
Resposta rápida: A Microsoft descreveu o TerminalFix, uma campanha ClickFix que exibe um falso CAPTCHA Cloudflare e convence o utilizador a colar um comando no Windows Terminal. A cadeia usa DLL sideloading, esteganografia em imagens PNG e termina num túnel reverso em Python que dá aos atacantes acesso ao nível da rede. A Microsoft afirma não ter observado ransomware nesta cadeia concreta, mas avisa que o acesso obtido o permite. Regra prática: nenhum CAPTCHA legítimo pede para abrir o Terminal, o PowerShell ou a caixa Executar.
Do falso CAPTCHA ao túnel: como funciona a cadeia
O ponto de partida é um site legítimo previamente comprometido. O visitante recebe uma sobreposição que imita a verificação Cloudflare Turnstile e, em vez do habitual desafio dentro do navegador, recebe instruções de teclado para abrir o Windows Terminal e colar aquilo que já foi silenciosamente copiado para a área de transferência.
A partir daí, tudo corre com as permissões do utilizador e dentro de binários assinados pela Microsoft. O comando colado executa um script PowerShell disfarçado que descarrega um arquivo ZIP a partir da infraestrutura do atacante, o extrai para C:\ProgramData e lança silenciosamente um ficheiro batch, que por sua vez executa LockScreenContentServer.exe — um binário legítimo e assinado — que carrega automaticamente a DLL maliciosa dui70.dll colocada na mesma pasta. A DLL recebe esse nome precisamente para se fazer passar pela framework DUI legítima da Microsoft.
| Fase | O que acontece |
|---|---|
| 1. Acesso inicial | Site comprometido exibe falso CAPTCHA Cloudflare Turnstile |
| 2. Execução | Utilizador cola comando PowerShell no Windows Terminal; descarga de ZIP para C:\ProgramData |
| 3. Sideloading | Ficheiro batch executa LockScreenContentServer.exe, que carrega dui70.dll |
| 4. Esteganografia | PowerShell descarrega imagens PNG e extrai o payload escondido nos canais de pixel |
| 5. Persistência | Chaves Run do registo e tarefa agendada (reexecução periódica) |
| 6. Reconhecimento | Enumeração de domínio, administradores, descrições de utilizadores AD e ping sweep |
| 7. Túnel | Implante Python lançado via pythonw.exe, WebSocket sobre TLS para o C2 |
A DLL carregada lateralmente descarrega payloads adicionais escondidos em imagens PNG com recurso a esteganografia e estabelece persistência através de chaves Run do registo e de tarefas agendadas, garantindo mais do que uma forma de sobreviver no sistema; segue-se a fase de reconhecimento, com enumeração de relações de confiança do domínio, procura de administradores de domínio, extração de descrições de utilizadores do Active Directory e ping sweeps dirigidos. São usados comandos como net group "domain admins" /domain e nltest /domain_trusts.
O desfecho é o que torna esta campanha diferente da maioria das operações ClickFix. O payload final é um implante de túnel reverso personalizado, baseado em Python: depois de descarregar um runtime Python e um cliente de tunelamento, o malware usa pythonw.exe para arrancar o implante sem janela visível. O implante liga-se ao domínio gitnow[.]dev por TLS na porta 443, faz o upgrade para WebSocket e retransmite tráfego TCP arbitrário, com um tratamento ao estilo SOCKS5 que permite aos operadores alcançar alvos internos por IPv4, IPv6 ou nome de máquina a partir do endpoint infetado. A Microsoft notou ainda que a verificação de certificados está desativada e que o túnel consegue multiplexar várias ligações numa única sessão WebSocket cifrada.
Ransomware: o que a Microsoft diz — e o que não diz
Este é o ponto onde vale a pena travar. Vários títulos associaram diretamente esta campanha à instalação de ransomware, mas a formulação da própria Microsoft é mais contida. A empresa não observou, na cadeia analisada, implantação de ransomware, roubo de credenciais ou movimento lateral, embora recomende que as máquinas afetadas sejam tratadas como possíveis pontos de pivô e investigadas quanto a credenciais expostas, persistência, atividade de acesso remoto e ligações suspeitas a serviços internos. A Microsoft detetou os ataques em ambiente real mas não observou atividade manual dos operadores; ainda assim, alerta que o acesso obtido por esta via pode servir para movimento lateral, escalada de privilégios, roubo de credenciais, desativação de ferramentas de segurança, exfiltração de dados ou implantação de ransomware.
Não existe aqui qualquer CVE nem pontuação CVSS: o TerminalFix não explora uma vulnerabilidade de software. Explora um hábito — o de completar verificações sem pensar. É por isso que atualizar o Windows, por si só, não resolve o problema.
Indicadores de comprometimento a procurar
| Tipo | Indicador |
|---|---|
| Processo | LockScreenContentServer.exe executado fora de C:\Windows\SystemApps |
| Ficheiro | dui70.dll colocado junto ao executável assinado |
| Sistema de ficheiros | Pastas ocultas ou de nome aleatório em C:\ProgramData |
| Persistência | Chaves Run e tarefas agendadas a imitar componentes do ecrã de bloqueio |
| Processo | pythonw.exe a lançar scripts invulgares |
| Rede | Ligações WebSocket/TLS para gitnow[.]dev:443 |
Os defensores devem investigar execuções inesperadas de LockScreenContentServer.exe fora da sua localização normal, sobretudo a partir de ProgramData, e outros artefactos de alto sinal como a DLL co-localizada, diretórios ocultos, tarefas agendadas ou chaves Run disfarçadas de componentes do ecrã de bloqueio, e processos pythonw.exe a executar scripts fora do comum. A Microsoft publicou cobertura de deteção, IOCs, consultas de hunting e orientação de mitigação e resposta para a atividade observada.
Mitigações concretas
- Restringir a execução de PowerShell e da caixa Executar para utilizadores padrão através de AppLocker, Application Control for Windows ou políticas de grupo.
- Ponderar bloquear ou auditar a caixa Executar (
Win+R) quando não for necessária. - Ativar o script block logging do PowerShell para detetar e analisar comandos ofuscados ou codificados.
- Alertar sobre
LockScreenContentServer.exea executar a partir de caminhos não-padrão. - Formar os colaboradores para reconhecerem páginas de verificação falsas que mandam colar comandos no Terminal ou na caixa Executar.
- Perante indicadores desta campanha, assumir que o atacante tem acesso ao nível da rede através da máquina comprometida e rodar todas as credenciais acessíveis a partir dela.
O ClickFix já não é um caso isolado
O TerminalFix insere-se num fenómeno mais amplo. A técnica ClickFix foi acrescentada à matriz MITRE ATT&CK em março de 2025, como T1204.004. O Centro Nacional de Cibersegurança suíço (NCSC) descreveu o problema em termos que interessam diretamente a qualquer PME com presença online: registou um aumento de sites comprometidos na Suíça a exibir falsos CAPTCHA, a maioria em WordPress, num universo que já ultrapassou 100 mil sites afetados em todo o mundo, notificando por email os responsáveis para removerem o conteúdo malicioso. Os falsos CAPTCHA imitam os da Cloudflare, adaptam-se ao idioma do visitante e detetam o sistema operativo, entregando comandos PowerShell a utilizadores Windows e comandos próprios a utilizadores macOS.
Também o CERT Polska documentou um caso real de infeção à escala de toda uma empresa a partir de um único utilizador enganado, sublinhando que apesar de o vetor inicial ser relativamente simples, os ataques de falso CAPTCHA têm um potencial significativo de disrupção porque dão ao atacante capacidade imediata de execução de código. E a técnica já saiu do crime comum: o CERT-UA atribuiu ao grupo UAC-0145, subcluster do Sandworm, ataques que usam falsas verificações CAPTCHA em sites comprometidos para levar alvos a executar comandos PowerShell.
Porque é que isto importa em Portugal
Para o cidadão, a regra é simples e universal: um CAPTCHA verdadeiro resolve-se dentro do navegador. Se uma página pede para carregar em Win+R, abrir o Terminal ou colar seja o que for, é fraude — fechar o separador é a resposta certa. Copiar não infeta; o passo decisivo é colar e executar.
Para empresas e organismos públicos, o risco muda de escala. Um único posto de trabalho com um túnel reverso ativo pode expor servidores de ficheiros, bases de dados e sistemas internos que nunca estiveram acessíveis a partir da internet. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm obrigações de gestão de risco, formação e notificação de incidentes ao CNCS/CERT.PT — e uma intrusão iniciada por engenharia social não é exceção. Se houver indícios de acesso a dados pessoais, aplicam-se ainda os deveres de notificação previstos no RGPD perante a CNPD e, quando o risco for elevado, perante os próprios titulares.
Há ainda uma responsabilidade menos óbvia: a de quem aloja sites. Como mostram os dados do NCSC suíço, grande parte destas armadilhas vive em sites legítimos comprometidos, muitos deles em WordPress desatualizado. Manter o CMS, os temas e os plugins atualizados deixou de ser higiene digital opcional — é o que impede que a página institucional de uma PME portuguesa se torne o ponto de partida do próximo incidente numa rede corporativa.
Perguntas frequentes
O que é o TerminalFix?
É uma variante da técnica ClickFix identificada pela Microsoft Threat Intelligence. Em vez de encaminhar a vítima para a caixa Executar do Windows, direciona-a para o Windows Terminal ou o PowerShell, o que permite executar scripts mais longos e de várias linhas com maior taxa de sucesso.
O TerminalFix instala mesmo ransomware?
A Microsoft afirma não ter observado implantação de ransomware, roubo de credenciais ou movimento lateral na cadeia que analisou. Alerta, no entanto, que o acesso ao nível da rede obtido pelo túnel reverso pode ser usado para escalada de privilégios, exfiltração de dados e implantação de ransomware.
Como distinguir um CAPTCHA falso de um verdadeiro?
Um CAPTCHA legítimo resolve-se sempre dentro do navegador, com cliques ou escrita. Nunca pede para abrir a caixa Executar, o Terminal ou o PowerShell, nem para colar e executar comandos. Qualquer instrução de teclado desse tipo é sinal de fraude.
Já colei o comando. O que devo fazer?
Isolar de imediato o equipamento da rede, contactar a equipa de TI ou de segurança e tratar a máquina como comprometida. As organizações devem assumir acesso ao nível da rede, procurar os indicadores conhecidos e rodar todas as credenciais acessíveis a partir desse posto de trabalho.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft Threat Intelligence, pelo NCSC suíço, pelo CERT Polska e pelo CERT-UA.