TerminalFix：ClickFixの新たな亜種がリバーストンネルバックドアを展開

Cloudflare CAPTCHA装うTerminalFix、リバーストンネルバックドアを展開

The Hacker News – Aug 30, 2026

マイクロソフトは、ClickFixの新たな亜種である「TerminalFix」キャンペーンの詳細を明らかにした。このキャンペーンは、WindowsターミナルまたはPowerShellで有害なコマンドを実行させることを目的としている。

TerminalFixでは、企業や組織の侵害されたWebサイト上にCloudflare CAPTCHAを装った偽の認証手順を表示し、サイト訪問者にコマンドをコピー・実行させるように仕向けている。従来のClickFixでは、Windowsの「ファイル名を指定して実行」へ誘導するのに対し、TerminalFixはWindowsターミナルまたはPowerShellのコマンドを用いているのが特徴である。

PowerShellコマンドを実行すると、正規バイナリ（LockScreenContentServer.exe）と不正なDLL（dui70.dll）を含むZIPアーカイブがダウンロードされ、DLLサイドローディングが行われる。サイドロードされたDLLは、外部ドメイン「bestsocialmedianewspapper[.]com」または「offlineupdater[.]com」のPNG画像内にステガノグラフィの手法で隠されたペイロードを取得し、レジストリのRunキーとスケジュールされたタスクによって永続性を確立し、ドメイン偵察を実行。その後、PythonベースのリバーストンネルC2インプラント「client.py」が展開される。このバックドアは、暗号化されたWebSocketチャンネルを介して任意のTCPトラフィックを攻撃者が制御するインフラ（gitnow[.]dev:443）に接続する。さらにはドメイン信頼関係の検出、ドメイン管理者の列挙、Active Directoryのユーザーとコンピューターの監視・検索も行われる。リバーストンネルと偵察機能を併用することで、攻撃者は侵害したホストから同一ネットワーク上のほかのシステムを特定し、アクセスすることが可能になるとみられる。

TerminalFix攻撃の対策として、一般従業員のPowerShellおよび実行ダイアログの使用を制限し、特にWindowsの実行ダイアログ（Win+R）をブロックするだけでなく、ClickFixや類似の攻撃を従業員に周知し、トレーニングを行うことも推奨される。