Uma nova variante do ClickFix, chamada TerminalFix, tem sido utilizada por atacantes para comprometer sites e enganar vítimas a executar comandos maliciosos no Windows Terminal. Ao contrário dos ataques típicos do ClickFix, que geralmente resultam em infecções por malware de roubo de informações, essa campanha adota uma cadeia de intrusão em múltiplas etapas, permitindo que os atacantes estabeleçam um túnel reverso para a rede interna da vítima. O ataque começa com um falso prompt de CAPTCHA, que instrui as vítimas a executar um comando PowerShell copiado para a área de transferência. Esse comando baixa um arquivo ZIP contendo um executável legítimo e um arquivo DLL malicioso, que decodifica e executa um payload ofuscado na memória. Na segunda etapa, os atacantes utilizam esteganografia para ocultar executáveis em dados de imagem PNG. O malware estabelece persistência através de uma tarefa agendada e uma chave de execução no Registro, realizando reconhecimento na rede e coletando informações do sistema. Um módulo Python personalizado permite a criação de um túnel reverso, conectando-se a endereços internos da vítima. A Microsoft alerta que esse acesso pode ser usado para movimentação lateral, escalonamento de privilégios e exfiltração de dados. Recomenda-se restringir a execução do PowerShell e monitorar atividades suspeitas.
Fonte: https://www.bleepingcomputer.com/news/security/microsoft-warns-of-terminalfix-attacks-deploying-reverse-tunnels/
⚠️BR DEFENSE CENTER: SECURITY BRIEFING
31/08/2026 • Risco: ALTO
MALWARE
Nova variante ClickFix usa CAPTCHA falso para ataques cibernéticos
RESUMO EXECUTIVO
O ataque TerminalFix representa uma ameaça significativa, utilizando técnicas avançadas para comprometer sistemas e redes. A capacidade de estabelecer um túnel reverso e realizar movimentação lateral aumenta o risco de danos severos, tornando essencial que as organizações implementem medidas de segurança robustas e monitoramento contínuo.
💼 IMPACTO DE NEGÓCIO
Financeiro
Custos associados a incidentes de segurança, incluindo recuperação de dados e danos à reputação.
Operacional
Possibilidade de movimentação lateral, roubo de credenciais e exfiltração de dados.
Setores vulneráveis
['Setores de tecnologia', 'Serviços financeiros', 'Saúde']
📊 INDICADORES CHAVE
37% das ações dos atacantes são bloqueadas após a obtenção de credenciais válidas.
Indicador
A campanha utiliza um módulo Python para estabelecer um túnel reverso.
Contexto BR
O malware é configurado para executar a cada hora.
Urgência
⚡ AÇÕES IMEDIATAS
1
Verificar logs de execução do PowerShell e atividades do LockScreenContentServer.exe.
2
Restringir a execução de scripts PowerShell e implementar regras de firewall para bloquear conexões suspeitas.
3
Monitorar continuamente a atividade de rede e a execução de tarefas agendadas.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a possibilidade de comprometimento de redes internas e roubo de dados sensíveis, especialmente em um cenário onde a conformidade com a LGPD é crítica.
⚖️ COMPLIANCE
Implicações diretas na conformidade com a LGPD, especialmente em relação à proteção de dados pessoais.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
