TerminalFix 活动通过多阶段入侵部署反向隧道

微软威胁情报观察到 TerminalFix 活动，这是 ClickFix 的一个变体，针对多个行业的组织。该活动利用被入侵的网站显示虚假的 Cloudflare CAPTCHA 验证覆盖层，诱骗用户复制并执行恶意 PowerShell 命令。与早期通常只投放单个信息窃取程序的 ClickFix 变体不同，该活动部署了一个复杂的多阶段攻击链，结合了 DLL 侧加载、隐写术载荷提取、广泛的 Active Directory 侦察以及自定义反向隧道植入程序，使攻击者能够通过被入侵的主机获得持久的网络级代理访问。攻击链从社会工程学发展到载荷投放、持久化、侦察，最终实现网络隧道。微软提供了检测和搜寻指导。