Microsoft Threat Intelligence warnt vor einer TerminalFix-Kampagne, die eine bekannte ClickFix-Taktik weiterentwickelt: Eine gefälschte Cloudflare-CAPTCHA-Seite bringt Benutzer dazu, einen kopierten Terminal-Befehl selbst auszuführen. Für kleinere und mittlere Unternehmen ist das relevant, weil der Angriff nach der ersten Ausführung nicht bei einem Infostealer stehen bleibt. Microsoft beschreibt eine mehrstufige Kette mit Sideloading, Active-Directory-Erkundung und einem Reverse Tunnel, der den kompromittierten Rechner zu einem internen Einstiegspunkt machen kann.
Was Microsoft am 29. August 2026 gemeldet hat
Die Analyse stammt aus dem Microsoft Security Blog und beschreibt TerminalFix als Variante von ClickFix. Der Köder ist eine kompromittierte Website mit gefälschter Cloudflare-Turnstile-Prüfung. Beim Anklicken wird ein angeblicher Verifizierungsbefehl in die Zwischenablage gelegt; die Seite fordert den Benutzer anschließend auf, ihn in Windows Terminal oder PowerShell auszuführen. Microsoft nennt diese Variante gefährlicher als einfachere ClickFix-Abläufe, weil sie mehrzeilige Skripte zuverlässiger zur Ausführung bringt.
Der heruntergeladene Inhalt enthält laut Microsoft ein legitimes Windows-Lock-Screen-Binary und eine bösartige DirectUI-Komponente. Das legitime Windows-Binary wird als Sideloading-Wirt missbraucht. Danach lädt das Skript weitere Nutzlasten aus PNG-Bildern, richtet Persistenz über Autostart und geplante Aufgabe ein und startet eine Tunnelkomponente.
Warum das für KMU spürbar ist
Viele Unternehmen mit 10 bis 250 Arbeitsplätzen haben Microsoft Defender bereits im Einsatz, aber keine dauerhaft besetzte SOC-Funktion. Genau dort ist eine klare Reaktion wichtig: TerminalFix setzt auf Benutzertäuschung, Skriptausführung und normale Windows-Komponenten. Das sind keine exotischen Spezialfälle, sondern typische Endpunkte und Administrationswerkzeuge im Alltag. Wer Warnungen aus Microsoft Defender nur sporadisch prüft, kann den Übergang von einer Einzelinfektion zu interner Erkundung übersehen.
- Der Erstkontakt erfolgt über eine Website und eine scheinbar harmlose CAPTCHA-Anweisung.
- Die Ausführung läuft über einen vom Benutzer eingefügten Befehl, nicht über einen klassischen Dateianhang.
- Die Schadkette sucht nach Domäneninformationen, Administratorgruppen und Servern.
- Der Reverse Tunnel kann Netzwerkzugriff aus Sicht des kompromittierten Geräts ermöglichen.
Frist und Dringlichkeit: sofort prüfen, kein späterer Stichtag
Microsoft nennt für TerminalFix keinen Migrations- oder Abschalttermin. Die Dringlichkeit ergibt sich aus der aktiven Beobachtung der Kampagne und den veröffentlichten Indicators of Compromise. Deshalb ist dies kein Thema für eine spätere Projektplanung, sondern für eine zeitnahe Kontrollrunde: Geräteereignisse, Netzwerkverbindungen und Skriptausführung sollten jetzt gegen die Microsoft-Hinweise geprüft werden. Besonders wichtig ist Microsofts Hinweis, dass betroffene Geräte als mögliche Pivot-Punkte behandelt und auf laterale Bewegung sowie offengelegte Anmeldeinformationen untersucht werden sollen. Diese Bewertung gehört sorgfältig und nachvollziehbar in den Incident-Prozess, inklusive Zeitstempeln, beteiligten Konten, betroffenen Rollen und Netzwerkzielen, nicht nur in die normale Endpoint-Bereinigung allein.
Technische Signale, die Defender sichtbar machen kann
Microsoft ordnet die Aktivität mehreren Defender-Erkennungen zu. Dazu gehören Hinweise auf ClickFix- oder TerminalFix-Skriptausführung, unerwartetes Laden einer DirectUI-Komponente, verdächtige geplante Aufgaben, Active-Directory-Aufzählung und mögliche Tunnelwerkzeuge. Für Microsoft Defender for Endpoint sind außerdem Advanced-Hunting-Abfragen veröffentlicht, unter anderem für verdächtige Skriptstarts in temporäre Systempfade, für Sideloading aus nicht standardmäßigen Pfaden und für Verbindungen zu genannten Steuerungsservern. Die exakten Artefaktnamen und Abfragen stehen in der verlinkten Microsoft-Quelle.
Wichtig ist die Einordnung: Microsoft schreibt ausdrücklich, dass die nachgelagerten Aktionen wie Ransomware-Ausführung in der analysierten Kette nicht beobachtet wurden. Trotzdem zeigen Erkundung, Persistenz und Tunnelzugriff, warum ein einzelner Treffer nicht nur bereinigt, sondern forensisch bewertet werden sollte.
Konkrete nächste Schritte für Administratoren
- Advanced Hunting in Defender XDR mit den von Microsoft veröffentlichten Abfragen für Skriptausführung, Sideloading und Netzwerkverbindungen ausführen.
- Das im Microsoft-Blog genannte Windows-Lock-Screen-Binary außerhalb des standardmäßigen Systempfads als Verdachtsmoment behandeln.
- Netzwerkschutz, Webschutz, SmartScreen, Cloud-Delivered Protection und passende Attack-Surface-Reduction-Regeln prüfen.
- Erweiterte Skriptprotokollierung aktivieren und eingeschränkte Ausführungsmodi dort bewerten, wo Standardbenutzer keine Skripte ausführen müssen.
- Bei Treffern Anmeldeinformationen rotieren, insbesondere wenn der Rechner domänengebunden war oder privilegierte Konten genutzt wurden.
Für einen Microsoft Security Assessment ist TerminalFix ein gutes Prüfmuster: Stimmen Protokollierung, Endpoint-Schutz, Webfilterung und Reaktionswege zusammen, oder endet die Sichtbarkeit nach der ersten Antivirus-Meldung?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: TerminalFix campaign deploys a reverse tunnel through multistage intrusion
- Microsoft Learn: Network protection in Microsoft Defender for Endpoint
Wenn Sie prüfen möchten, ob Ihre Umgebung TerminalFix-Signale sichtbar macht und ob die empfohlenen Schutzfunktionen sauber greifen, unterstützen wir bei einem kompakten Review Ihrer Microsoft-365-Sicherheitskonfiguration – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
