El clásico "copia y pega este comando para verificar que eres humano" acaba de subir de nivel. Microsoft documentó una campaña que ya no manda a la víctima al diálogo Ejecutar de Windows, sino a Windows Terminal o PowerShell — y ese cambio de ventana, aparentemente cosmético, es lo que convierte un engaño de un renglón en la instalación de un túnel reverso dentro de la red corporativa.
Qué pasó
El equipo de investigación de Microsoft — Sagar Patil, Suriyaraj Natarajan y Parasharan Raghavan — publicó el análisis de TerminalFix, una variante de ClickFix que reutiliza el mismo señuelo de siempre con un cambio de destino. La entrada es un sitio web legítimo previamente comprometido que sirve una verificación falsa de Cloudflare: el visitante ve el CAPTCHA de rigor y recibe la instrucción de copiar un comando y ejecutarlo.
La diferencia está en dónde le piden pegarlo. Los ClickFix tradicionales apuntan al diálogo Win+R, que es una caja de una sola línea y tolera mal los scripts largos. TerminalFix manda al usuario a Windows Terminal o PowerShell.
"Mientras las campañas tradicionales de ClickFix dirigen a las víctimas al diálogo Ejecutar de Windows, las campañas TerminalFix aplican la misma técnica pero dirigen a los usuarios a Windows Terminal o PowerShell, aumentando la probabilidad de que scripts complejos y de múltiples líneas se ejecuten correctamente." — Investigadores de Microsoft Security
Es una optimización de conversión, no de exploit. Y funciona.
Por qué importa
Un ClickFix típico termina en un infostealer: roba credenciales y cookies, y ahí muere. TerminalFix termina en acceso de red persistente a nivel de proxy a través de la máquina infectada. No es lo mismo perder las contraseñas de un usuario que regalarle al atacante una ruta hacia cualquier host que ese equipo alcance.
Y antes de abrir el túnel, el implante hace tarea: descubrimiento de domain trusts, enumeración de administradores de dominio, búsqueda de usuarios y equipos en Active Directory, y ping a los servidores nombrados para dibujar la topología interna. Cuando el operador se sienta a trabajar, ya tiene el mapa.
Microsoft es explícito sobre a dónde lleva eso: escalada de privilegios, desactivación de controles de seguridad, exfiltración y despliegue de ransomware.
"Este tipo de intrusión es particularmente peligrosa porque le da a los atacantes acceso directo a la red interna de la organización a través del túnel reverso." — Microsoft Security
Para un SOC hay un detalle incómodo: el C2 sale por WebSocket cifrado al puerto 443. En el tablero, eso se parece bastante a tráfico HTTPS normal.
El detalle técnico
El comando de PowerShell descarga un ZIP con dos piezas: un binario legítimo (LockScreenContentServer.exe) y una DLL maliciosa (dui70.dll). Ejecutar el binario firmado carga la DLL del atacante — DLL sideloading de manual, aprovechando que el ejecutable confía en el directorio donde vive.
Esa DLL es el verdadero cargador. Recupera las siguientes etapas escondidas dentro de imágenes PNG alojadas en dominios externos (bestsocialmedianewspapper[.]com y offlineupdater[.]com), es decir esteganografía: para un proxy que inspecciona, es la descarga de una imagen. Después establece persistencia doble —claves Run del registro y tareas programadas—, corre el reconocimiento de dominio y despliega el implante final.
El backdoor es un script de Python (client.py) que tuneliza tráfico TCP arbitrario hacia la infraestructura del atacante (gitnow[.]dev:443) sobre un canal WebSocket cifrado, en ambos sentidos: el servidor de C2 puede alcanzar cualquier host visible desde la víctima.
Como cinturón extra, la campaña deja un loop de PowerShell vigilando un archivo de texto: lo que aparezca ahí se ejecuta con Invoke-Expression y el resultado se escribe en un archivo de salida. Un canal de comandos rudimentario que no necesita que el túnel esté arriba.
Qué hacer
Sin CVE que parchear, todo es configuración y visibilidad:
- Restringe PowerShell y el diálogo Ejecutar para usuarios estándar con AppLocker, App Control for Windows o GPO. Si nadie de negocio necesita
Win+R, bloquéalo o audítalo. - Habilita script block logging de PowerShell. Es lo único que te deja ver comandos ofuscados o codificados después del hecho.
- Caza indicadores de DLL sideloading: binarios legítimos ejecutándose desde rutas de usuario (
%TEMP%,Downloads) con DLLs vecinas no firmadas. - Revisa persistencia: claves Run nuevas y tareas programadas creadas por procesos de usuario.
- En la red: WebSocket saliente sostenido a dominios sin reputación sobre 443, y descargas de PNG desde hosts que no son CDN.
- Y el eslabón de siempre: capacitación concreta. El mensaje ya no es "no pegues nada en Win+R" — es ningún sitio web te va a pedir jamás que ejecutes un comando en una terminal para probar que eres humano.