Microsoft nos alerta de una campaña activa que suplanta la verificación de captcha de Cloudflare para instalar una puerta trasera en equipos con Windows. La compañía ha bautizado esta amenaza como TerminalFix y advierte de que, una vez dentro, el atacante puede moverse por las redes internas de la organización afectada. La variante recurre a la Terminal de Windows y a PowerShell, lo que la distingue de los ataques ClickFix habituales.
Si visitamos alguno de los sitios comprometidos por esta operación, nos vamos a topar con una superposición que imita al detalle una verificación de Cloudflare. El aviso pide copiar y ejecutar un comando en la Terminal de Windows o en PowerShell para «completar» el proceso. Los investigadores de Microsoft Sagar Patil, Suriyaraj Natarajan y Parasharan Raghavan detallaron la operación en un análisis publicado esta semana: a diferencia de ClickFix, que suele llevar a la víctima al cuadro de diálogo Ejecutar, TerminalFix apunta directamente a la terminal, lo que facilita que se ejecuten scripts de varias líneas sin levantar sospechas.
Secuestro de la Terminal de Windows
El objetivo son organizaciones de sectores diversos, y no tanto usuarios particulares sueltos. Los atacantes usan los sitios comprometidos solo como puerta de entrada: el verdadero premio es el acceso a la red interna y a los sistemas de Active Directory desde el equipo infectado, que se convierte en un punto de apoyo para moverse lateralmente sin que salten las alarmas.
El proceso arranca en cuanto la víctima ejecuta el comando que le indica la superposición falsa. El sistema descarga entonces un archivo ZIP con un binario legítimo, LockScreenContentServer.exe, acompañado de una DLL fraudulenta llamada dui70.dll. Esa combinación permite el sideloading: el ejecutable de confianza carga la librería maliciosa sin que el antivirus lo detecte a simple vista, y así es como TerminalFix consigue ejecutar código arbitrario aprovechando un programa que Windows considera seguro.
Cómo es el uso de imágenes PNG para atacarte
Una vez activa, la DLL recupera cargas adicionales escondidas dentro de imágenes PNG alojadas en dominios como bestsocialmedianewspapper[.]com u offlineupdater[.]com. Esta técnica, la esteganografía, sirve para camuflar el código dentro de archivos que a primera vista parecen inofensivos y que suelen superar los filtros de seguridad perimetral sin levantar sospechas.
El malware también se asegura de sobrevivir a un reinicio: modifica claves de registro y crea tareas programadas para relanzarse cada vez que arranca Windows. De este modo, aunque apaguemos el equipo o cerremos sesión, la puerta trasera vuelve a activarse de forma automática y mantiene abierto el acceso remoto para los atacantes.
El último eslabón de la cadena es un implante en Python, client.py, que abre una conexión cifrada por WebSocket hacia gitnow[.]dev:443. Funciona como un proxy SOCKS5 y da a los atacantes acceso directo a la red interna de la víctima, sorteando buena parte de las protecciones perimetrales habituales.
Desde ahí, el malware recopila metadatos del sistema, rastrea relaciones de confianza entre dominios y enumera cuentas de administrador. También envía pings a servidores designados para dibujar un mapa de la topología de red. Microsoft precisa que, por ahora, no ha observado movimientos laterales efectivos en esta campaña, aunque advierte de que ese acceso podría emplearse después para robar datos o desplegar ransomware.
Qué medidas pueden proteger tu PC
Microsoft pide tratar cualquier equipo afectado como un punto de pivote e investigar si hubo movimiento lateral desde él, ya que el implante da acceso directo a la red interna de la organización afectada.
Las buenas prácticas de ciberseguridad frente a este tipo de campañas incluyen restringir el uso de PowerShell y del cuadro Ejecutar para usuarios estándar mediante herramientas de control de aplicaciones o Directivas de Grupo, vigilar señales de sideloading de DLL en los binarios legítimos y activar el registro de bloques de script de PowerShell para detectar comandos ofuscados. Formar a los empleados para reconocer estas falsas verificaciones sigue siendo una de las barreras más eficaces, algo que conviene tener en cuenta si gestionamos redes corporativas.