TerminalFix：偽CAPTCHAからPython製リバーストンネルへ繋がる多段階攻撃｜ブログ(ほぼこもセキュリティニュース)

TerminalFix（ターミナルフィックス）は、最近報告された高度なサイバー攻撃キャンペーンです。
本キャンペーンは、侵害された Web サイト上に偽の Cloudflare CAPTCHA（人間認証画面）を表示し、ユーザを欺いて PowerShell コマンドを実行させるソーシャルエンジニアリング手法から始まります。
攻撃の最終目的は、被害者の端末内に独自開発された Python ベースのリバースプロキシ（リバーストンネル）を配置し、セキュリティ機器（Firewallやプロキシ）をう回して組織内ネットワークへの永続的なアクセス経路を確立することにあります。
特徴的な部分をみてみましょう。

偽 CAPTCHA を悪用したソーシャルエンジニアリング（ClickFix 手法）
- 概要
  ユーザが侵害された Web サイトを訪問すると、「人間の証明」を求める偽の CAPTCHA インターフェースが表示されます。
- 仕組み
  「ロボットではないことを証明するため」と称して、提示された手順に従って特定のキー操作（例: Win + R → Ctrl + V → Enter）を誘発させます。
  クリップボードにはあらかじめ悪意ある PowerShell コマンドがコピーされており、ユーザ自らの手でターミナル（Windows PowerShell）にコマンドを貼り付けて実行させてしまいます。
PNG 画像を利用したステガノグラフィー（隠蔽技術）
- 概要
  初期ペイロードの検出率を極限まで下げるため、画像ファイル内にバイナリデータを潜ませるステガノグラフィー技術が使用されます。
- 仕組み
  PowerShell スクリプトは外部から一見正常に見える 3 つの PNG 画像（1.png, 2.png, 3.png）をダウンロードします。
  スクリプトはこれらの画像からピクセルデータを抽出し、非表示データをデコードして組み合わすことで、次段階の悪意ある DLL や各種コンポーネントを復元・展開します。
  通常のネットワーク監視ツールでは「画像ファイルのダウンロード」としか認識されないため、検知が困難です。
多段階の侵入・実行プロセス（Multi-Stage Intrusion）
- 概要
  検出回避と環境準備のために、処理を複数段階に分散させて実行します。
- 仕組み
  1. LOLBin（mshta.exe）を介した難読化スクリプトの呼び出し
    ユーザが実行した初期 PowerShell コマンドは、直接悪意ある動作を行わずに Windows 標準ユーティリティである mshta.exe（LOLBin: 信頼された正規バイナリ）を呼び出します。
    これにより、セキュリティ製品による初期スクリプトの警戒・ブロックを回避します。
  2. インメモリ実行（反射型ロード等）と DLL Side-Loading
    復元された悪意あるコードや DLL は、ディスク上に直接ファイルを残さないインメモリ（メモリ上）処理や、正規プロセスの依存関係を悪用する DLL Side-Loading によってロードされます。
    ディスクへの書き込み検知を回避することで EDR の監視を極力すり抜けます。
  3. Python 実行環境のポータブル展開
    ターゲット端末に Python がインストールされていない場合でも機能するよう、軽量なポータブル Python 環境を自動で展開します。
独自開発された Python 製リバーストンネル（client.py）
- 概要
  C2（指令サーバ）との通信を確立し、外部からの反転接続を可能にするバックドアコンポーネントです。
- 仕組み
  このスクリプトは外部の攻撃者サーバ（例: gitnow[.]dev:443）に対して WebSocket 経由で暗号化コネクション（SSL/TLS）を自発的に確立します。
  インバウンド通信（外部からの直接入出）を制限している厳重な企業ネットワークであっても、アウトバウンド（内から外への 443 ポート通信）が許可されていれば接続が確立し、攻撃者はこのトンネルを通じて内側へ SOCKS プロキシ接続を回送できるようになります。

TerminalFix キャンペーンは、「ユーザの心理的隙を突く初期侵入」と「既存のセキュリティ検知（AV/EDR/プロキシ）を完全にすり抜ける隠蔽・通信技術」を極めて高い水準で組み合わせた脅威です。

脆弱性ではなく人間を標的化: 技術的なゼロデイ脆弱性を使わず、ユーザの自発的なコマンド貼り付け操作を悪用することで、メールフィルターやブラウザの基本保護措置をバイパスします。
正規ツールの悪用による高い隠蔽性: mshta.exe などの LOLBin 悪用やステガノグラフィー、メモリ上でのコード実行を組み合わせることで、従来のシグネチャベース検知や挙動監視の目を巧みに逸らします。
ネットワーク検知の難易度上昇: 画像のダウンロードによるペイロード取得、および標準的な HTTPS/WebSocket（ポート443）を利用したアウトバウンドリバーストンネルの利用により、トラフィック監視のみで検知することは容易ではありません。

組織における対策としては、従業員へのソーシャルエンジニアリング周知（「指示されたコマンドをターミナルに貼り付けない」トレーニング）に加え、PowerShell の実行制限（Constrained Language Mode や Logging の有効化）、mshta.exe など不要な標準ツールの起動制限（AppLocker/WDAC による制御）、不審なアウトバウンド WebSocket 通信や未知の Python プロセスによるプロキシ挙動の監視・エンドポイント保護（EDR）の強化が不可欠となります。

TerminalFix campaign deploys a reverse tunnel through multistage intrusion
https://www.microsoft.com/en-us/security/blog/2026/08/28/terminalfix-campaign-deploys-reverse-tunnel-through-multistage-intrusion/