TerminalFix: Varian ClickFix yang Menjadikan Komputer Windows sebagai Pintu Masuk Jaringan

Kampanye TerminalFix meniru Cloudflare CAPTCHA untuk mengelabui pengguna menjalankan PowerShell, lalu memasang reverse tunnel yang memberikan penyerang akses penuh ke jaringan internal organisasi

Pada 28 Agustus 2026, Microsoft Threat Intelligence mempublikasikan analisis kampanye aktif bernama TerminalFix - varian baru dari teknik social engineering ClickFix yang lebih berbahaya dari pendahulunya. Jika ClickFix klasik biasanya hanya mengirimkan satu infostealer, TerminalFix membangun rantai serangan multi-tahap yang mencakup DLL sideloading, steganografi, rekognisi Active Directory menyeluruh, dan implant reverse tunnel khusus yang menjadikan komputer korban sebagai pivot point jaringan.

Apa perbedaan TerminalFix dan ClickFix klasik?

Kedua teknik menggunakan modus yang sama: menipu pengguna agar menjalankan perintah yang disalin dari browser ke terminal Windows. Namun ada tiga perbedaan kunci:

Penggunaan Windows Terminal/PowerShell bukan kebetulan - ini memungkinkan script multi-baris yang kompleks dieksekusi dengan lebih andal dibandingkan Win+R yang hanya menerima perintah tunggal.

Bagaimana fake CAPTCHA Cloudflare bekerja

Microsoft mengamati kampanye ini pada website yang sudah dikompromikan. Halaman asli ditampilkan sesaat, lalu diganti oleh overlay palsu yang meniru Cloudflare Turnstile:

• Logo Cloudflare, checkbox “Verify you are human”, dan animasi spinner
• Ketika pengguna berinteraksi, perintah PowerShell jahat disalin ke clipboard secara otomatis
• Instruksi di layar mengarahkan pengguna untuk membuka Windows Terminal atau PowerShell dan menempelkan perintah
• Perintah mencetak pesan “Starting Cloudflare verification” berwarna cyan dan “I am not a robot - Cloudflare ID” berwarna hijau untuk meyakinkan korban

Aturan emas: CAPTCHA yang sah tidak pernah meminta pengguna membuka PowerShell, Windows Terminal, atau Run dialog. Jika website meminta itu, itu bukan CAPTCHA.

Rantai serangan 8 tahap

Setelah perintah PowerShell dijalankan, serangan berlangsung melalui tahapan berikut:

1. Download & ekstrak - Perintah mengunduh arsip ZIP dari infrastruktur penyerang dan mengekstraknya ke C:ProgramDataf47f2a8c21c9df4e
2. DLL sideloading - Batch file menjalankan LockScreenContentServer.exe (biner Windows yang sudah ditandatangani secara sah) yang secara otomatis memuat dui70.dll berbahaya dari direktori yang sama
3. Steganografi - DLL jahat mengunduh tiga gambar PNG dari domain terkontrol penyerang, mengekstrak payload biner yang tersembunyi di dalam nilai piksel
4. Dual persistence - Dua mekanisme independen memastikan payload bertahan: Registry Run key dan Scheduled Task yang berjalan setiap 60 menit, keduanya dengan nama samaran LockScreenContentServer_MuODG5yBM
5. Rekognisi Active Directory - Enumerasi domain trust, penemuan domain admin, harvesting deskripsi pengguna AD, dan ping sweep server yang ditargetkan
6. Download Python runtime - Python 3.14.5 embeddable yang sah diunduh dari python.org, memberikan environment eksekusi portabel yang mewarisi kepercayaan runtime open-source resmi
7. Deploy reverse tunnel - client.py diluncurkan melalui pythonw.exe (tanpa jendela), terhubung ke gitnow[.]dev:443 melalui TLS/WebSocket
8. SOCKS5 proxy - Implant mem-parsing alamat gaya SOCKS5 (IPv4/IPv6/hostname) dan merelay koneksi TCP arbitrer, menjadikan korban sebagai pivot jaringan penuh

Indikator kompromi: di mana mencari

Iterasi dan self-learning: pelajaran dari evolusi ClickFix ke TerminalFix

TerminalFix bukan serangan baru dari nol - ia adalah iterasi dari ClickFix yang sudah ada. Pola evolusi ini mengajarkan beberapa hal penting untuk pertahanan berkelanjutan:

• Penggunaan Terminal/PowerShell menggantikan Run dialog - penyerang belajar bahwa eksekusi multi-baris lebih andal. Pertahanan perlu beradaptasi: batasi penggunaan PowerShell untuk user non-admin, aktifkan script block logging, dan pertimbangkan AppLocker/WDAC
• DLL sideloading dengan biner sah - tanda tangan digital pada LockScreenContentServer.exe tidak memvalidasi DLL yang berada di sebelahnya. Validasi harus mencakup folder dan konteks, bukan hanya signature file
• Steganografi di PNG - payload tersembunyi di dalam gambar, bukan dikirim sebagai file executable. Deteksi perlu melihat anomali proses, bukan hanya hash file
• Python runtime resmi sebagai trojan horse - penyerang membawa interpreter mereka sendiri yang mewarisi kepercayaan. Blokir domain C2 tidak cukup jika lateral movement sudah terjadi
• Dua mekanisme persistence - menghapus satu (Registry atau Scheduled Task) tidak menghentikan malware. Response plan harus mencakup keduanya

Checklist respons untuk tim IT

Sumber

• Microsoft Security Blog - TerminalFix campaign deploys a reverse tunnel through multistage intrusion (28 Agustus 2026) - tautan sumber
• The Hacker News - TerminalFix Uses Fake Cloudflare CAPTCHAs to Deploy Reverse-Tunnel Backdoor - tautan sumber
• GridinSoft - TerminalFix Fake CAPTCHA Opens a Network Tunnel - tautan sumber

myBATICloud menyediakan asesmen keamanan endpoint dan managed security untuk membantu organisasi memverifikasi apakah lingkungan Windows mereka rentan terhadap teknik ClickFix/TerminalFix dan memperkuat kebijakan PowerShell serta application control. Jika Anda ingin mendiskusikan kesiapan pertahanan terhadap social engineering tingkat lanjut, bisa lihat layanan kami atau memulai chat.