L'attaque « TerminalFix » est une campagne d'ingénierie sociale de type « ClickFix » qui incite les utilisateurs à coller du code PowerShell malveillant dans Windows Terminal. Signalée par Microsoft le 28 août 2026, cette attaque utilise de fausses fenêtres superposées de CAPTCHA Cloudflare, télécharge un fichier ZIP, exploite le chargement latéral de DLL, dissimule des données de charge utile dans les pixels d’une image PNG et se termine par l’implantation d’un tunnel inversé en Python. Considérez tout hôte infecté comme un pivot réseau potentiel, et non simplement comme un poste de travail nettoyé.
En quoi l'attaque « TerminalFix » est-elle différente ?
La plupart des leurres ClickFix incitent la victime à accéder à la boîte de dialogue « Exécuter » de Windows. L'attaque TerminalFix change de stratégie : elle demande à l'utilisateur d'ouvrir Windows Terminal ou PowerShell et d'y coller une commande, ce qui constitue une petite adaptation en matière d'ingénierie sociale, mais qui s'avère très efficace sur le plan opérationnel.
Windows Terminal est mieux adapté aux commandes PowerShell complexes et sur plusieurs lignes que la boîte de dialogue « Exécuter ». Les commandes longues, les charges utiles encodées, les programmes de téléchargement et les chaînes d'exécution ont moins de chances de rencontrer des dysfonctionnements. C'est là que réside l'astuce. Il n'est pas nécessaire d'exploiter une faille du navigateur si l'utilisateur devient lui-même le programme d'installation.
Le 28 août 2026, Microsoft Security Research a baptisé cette campagne « TerminalFix » et a indiqué avoir constaté qu’elle ciblait des organisations dans plusieurs secteurs d’activité. BleepingComputer, OraSec et Malwarebytes ont publié leurs propres résumés entre le 31 août et le 1er septembre 2026, mais le rapport principal de Microsoft reste la référence technique la plus fiable.
Le modèle mental utile est simple : ClickFix gère le clic, TerminalFix gère le terminal. Si votre formation à la sensibilisation se limite à vous dire « ne collez pas de commandes dans la fenêtre « Exécuter » », vous tombez dans le piège.
La chaîne de contamination, étape par étape
Les sites web piratés constituent la porte d'entrée. Les utilisateurs atterrissent sur des pages affichant de faux CAPTCHA Cloudflare ou des superpositions de type « Turnstile », un motif visuel suffisamment familier pour que beaucoup de gens s'y plient sans réfléchir.
La page invite l'utilisateur à copier et à exécuter une commande PowerShell. Une fois celle-ci exécutée, la chaîne d'attaque observée télécharge une archive ZIP contenant un binaire Microsoft légitime et signé, LockScreenContentServer.exe, ainsi qu'une DLL malveillante nommée dui70.dll. Microsoft a indiqué que la valeur SHA-256 du fichier ZIP était 18c2090e8a0ae0568af9b87e59eaf8270f23d2909600ed9db91a9444fd8b278f en 2026.
- Appât initial : site piraté comportant un faux CAPTCHA Cloudflare ou une fenêtre contextuelle de type « Turnstile ».
- Action de l'utilisateur : copier une commande et l'exécuter dans Windows Terminal ou PowerShell.
- Téléchargement : archive ZIP contenant les fichiers signés
LockScreenContentServer.exeet malveillantesdui70.dll. - Exécution : chargement parallèle d'une DLL via l'exécutable légitime.
- Traitement de la charge utile : les données dissimulées dans les pixels d'un fichier PNG sont reconstituées sur le disque.
- Persistance : les clés de registre et les tâches planifiées permettent au logiciel malveillant de continuer à s'exécuter.
- Accès : un tunnel inversé basé sur Python offre aux attaquants une fonctionnalité de proxy TCP de type SOCKS5.
Il existe un piège que de nombreuses équipes négligent : bloquer les logiciels malveillants non signés, même les plus évidents, ne suffit pas lorsqu'un exécutable légitime et signé sert de chargeur. L'exploitation de l'ordre de recherche des DLL reste une technique éculée, mais toujours aussi efficace.
Chargement parallèle de DLL, stéganographie et persistance
L'attaque « TerminalFix » exploite le chargement latéral de DLL en associant LockScreenContentServer.exe avec un fichier malveillant dui70.dll. Le fichier binaire est légitime et signé ; la DLL n'est pas le fichier que les pirates voudraient faire passer pour tel. Microsoft a indiqué que la DLL se faisait passer pour « Windows DirectUI Engine » et utilisait un horodatage falsifié datant de 2104.
Microsoft a également signalé un chemin d'extraction observé de C:\ProgramData\f47f2a8c21c9df4e. Ce chemin d'accès précis n'apparaîtra peut-être pas dans tous les environnements, mais il constitue un indice de recherche important pour la chaîne analysée. Les répertoires ProgramData d'apparence aléatoire méritent une attention particulière lorsqu'ils contiennent des binaires de type Windows situés en dehors des emplacements habituels des composants.
Les données de la charge utile sont dissimulées dans les pixels d’une image PNG et reconstituées sur le disque. La stéganographie peut sembler exotique, mais il s’agit ici avant tout d’un choix d’emballage : cacher des octets dans un format de fichier que les défenseurs sont susceptibles de considérer comme inoffensif. Malwarebytes a fait valoir le 1er septembre 2026 que la particularité ne réside pas dans la stéganographie en soi, mais dans l’objectif de la charge utile, à savoir une reconnaissance ciblée par domaine suivie d’un tunnel TCP inversé multiplexé sur mesure.
La persistance est assurée par des clés de registre « Run » et des tâches planifiées. Dans l'échantillon analysé par Microsoft, la tâche planifiée s'est réexécutée LockScreenContentServer.exe toutes les 60 minutes. Faites le calcul : avec un délai de confinement de 24 heures, cela représente jusqu'à 24 nouvelles opportunités de relance, sans compter les possibilités d'accès interactif offertes par le tunnel pendant cette période.
Comparaison des indicateurs et des comportements de l'attaque « TerminalFix »
Les défenseurs ont besoin à la fois d'indicateurs statiques et de détections basées sur le comportement. Les indicateurs statiques sont rapides, mais peu fiables. Le comportement, quant à lui, résiste au reconditionnement, aux changements de domaine, aux renommages de dossiers et aux commandes légèrement modifiées.
Si vous centralisez déjà les journaux Windows, traitez les données télémétriques, les événements proxy et les alertes EDR, intégrez cette campagne à une stratégie globale de détection plutôt que de la considérer comme une recherche ponctuelle d’indicateurs de compromission (IOC). Une approche aboutie Programme de détection des menaces SIEM devrait regrouper en un seul scénario les lancements suspects de terminaux, l'extraction d'archives, le chargement de DLL, les modifications liées à la persistance et le trafic sortant via des tunnels.
| Signal a fait l'objet d'un rapport en 2026 | Ce qu'il faut rechercher | Pourquoi c'est important |
|---|---|---|
| Le piège du faux CAPTCHA | Des utilisateurs signalent un processus de vérification de type Cloudflare qui leur demande d'exécuter des commandes | Un CAPTCHA légitime ne nécessite jamais l'exécution de PowerShell |
| Exécution dans Windows Terminal ou PowerShell | Copier-coller depuis le navigateur vers le terminal, commandes encodées, téléchargements à distance | C'est là le changement décisif entre ClickFix et TerminalFix |
| Archive ZIP SHA-256 | 18c2090e8a0ae0568af9b87e59eaf8270f23d2909600ed9db91a9444fd8b278f |
Indicateur de fiabilité élevée tiré du rapport de Microsoft du 28 août 2026 |
| Chemin d'extraction | C:\ProgramData\f47f2a8c21c9df4e |
Utile pour les balayages des extrémités dans la chaîne observée |
| Installation parallèle de DLL | LockScreenContentServer.exe chargement local dui70.dll |
Un fichier binaire légitime et signé permet au code malveillant de passer inaperçu |
| Intervalle entre les tâches planifiées | La tâche redémarre toutes les 60 minutes | Persévérance face à des tentatives d'exécution répétées |
| Tunnel inversé | Trafic TLS/WebSocket sortant sur le port 443 ; signalé par Microsoft gitnow[.]dev:443 |
Transforme l'hôte en point proxy au sein de votre réseau |
Un cas particulier revêt une importance particulière dans le cadre des enquêtes : Microsoft a déclaré n'avoir observé aucune action en aval sur le clavier dans la chaîne analysée. Cela ne signifie pas pour autant que l'hôte était à l'abri. Cela signifie que l'intrusion observée s'est peut-être arrêtée au stade de la préparation de l'accès, et que cette préparation constitue déjà un incident grave lorsque la charge utile offre un accès par proxy.
Pourquoi le tunnel inversé modifie le risque
La charge utile finale est un implant basé sur Python qui utilise un trafic sortant TLS/WebSocket sur le port 443. Microsoft a indiqué avoir contacté gitnow[.]dev:443 et a désactivé la vérification des certificats à l'aide de CERT_NONE. Concrètement, cela se traduit par un accès via un proxy TCP de type SOCKS5 transitant par l'hôte compromis.
Le port 443 sert de couverture. De nombreux environnements autorisent largement le trafic HTTPS sortant, et un tunnel via WebSocket peut paraître moins suspect qu’un shell inversé brut. Honnêtement, bloquer un domaine a posteriori n'a de sens qu'en tant que mesure de confinement à court terme ; un contrôle plus efficace consiste à mettre en place un filtrage sortant lié à l'identité, à la réputation de la destination, à une politique d'inspection TLS lorsque la loi le permet, ainsi qu'à la détection des connexions inhabituelles de longue durée.
Une fois ce tunnel établi, le point d'extrémité n'est plus seulement une machine victime. Il peut servir de point d'ancrage pour explorer les contrôleurs de domaine, les bases de données, les serveurs de sauvegarde, les passerelles et les systèmes de messagerie. Microsoft et d'autres sources ont indiqué que les hôtes affectés devaient être considérés comme des points de pivot potentiels au sein du réseau et faire l'objet d'une enquête visant à détecter tout mouvement latéral et toute exposition d'identifiants.
La phase de reconnaissance de cette campagne tient compte du contexte du domaine. Les scripts signalés collectaient des informations système, répertoriaient Active Directory, identifiaient les relations de confiance entre domaines, recherchaient des administrateurs de domaine et sondaient l'infrastructure. Microsoft a également indiqué que ces scripts de reconnaissance prenaient en charge les paramètres régionaux en anglais, en espagnol et en allemand, ce qui suggère que les opérateurs s'attendaient à intervenir dans divers environnements d'entreprise plutôt que de cibler un public restreint de particuliers.
Comment les défenseurs devraient réagir
Commencez par le confinement, et non par un nettoyage superficiel. Si l’attaque TerminalFix a abouti, isolez l’hôte, conservez les preuves volatiles dans la mesure où votre procédure le permet, et partez du principe que les identifiants présents sur la machine ont pu être compromis.
Les équipes chargées des terminaux doivent rechercher le hachage de l'archive signalé, le chemin d'accès à ProgramData, ainsi que tout élément suspect LockScreenContentServer.exe exécutions, locales dui70.dll chargements, modifications de clés d'exécution et tâches planifiées créées peu avant l'activité de l'utilisateur sur son navigateur. Les équipes réseau doivent examiner le trafic sortant sur le port 443 afin de détecter d'éventuelles sessions WebSocket ou TLS de longue durée vers des destinations inhabituelles, y compris celles signalées par Microsoft gitnow[.]dev indicateur.
L'analyse des identités est tout aussi importante que la suppression des logiciels malveillants. L'objectif de l'implant étant d'accéder au réseau, vérifiez s'il y a eu des tentatives d'authentification, une activité Kerberos, des requêtes LDAP, une énumération des relations de confiance entre domaines, ainsi qu'un accès à l'infrastructure de sauvegarde ou de messagerie après l'heure présumée d'exécution. Analyse comportementale dans le cadre des prises de contrôle de comptes Cela peut nous aider, car l'élément suspect pourrait être un compte normal accédant à des systèmes anormaux.
La formation à la sensibilisation doit s'appuyer sur un script plus précis. Expliquez aux utilisateurs qu'aucun CAPTCHA, aucune vérification Cloudflare ni aucun contrôle de navigateur légitime ne leur demande d'ouvrir Windows Terminal, PowerShell ou l'invite de commande pour y coller une commande. Court. Précis. Mémorisable.
L'architecture de sécurité a également son importance. L'attaque « TerminalFix » constitue un argument de poids en faveur de vérification de l'authentification avant l'accès au réseau, en particulier pour les postes de travail qui peuvent accéder par défaut à des services internes sensibles. Il convient d'associer cela à des exercices réalistes ; tests automatisés de type « red team » vous permet de vérifier si vos mesures de contrôle détectent les tentatives d'ingénierie sociale par terminal, les DLL installées hors canal officiel et les tunnels sortants avant qu'une véritable campagne ne soit lancée.
Les sites web hébergés dans le cloud méritent également une attention particulière. Étant donné que l'attaque commence sur des sites compromis, les propriétaires de sites web doivent surveiller de près leurs logiciels CMS, leurs plugins, leurs règles de périphérie et leurs identifiants de déploiement. La même discipline opérationnelle qui sous-tend réduire les risques liés à une mauvaise configuration du cloud Cela permet d'éviter que votre site ne devienne la page de redirection d'un tiers.
FAQ sur l'attaque « TerminalFix »
TerminalFix, c'est la même chose que ClickFix ?
Non. L'attaque « TerminalFix » est une variante de « ClickFix », mais elle redirige les utilisateurs vers Windows Terminal ou PowerShell au lieu de la boîte de dialogue « Exécuter » de Windows. Ce changement facilite l'exécution de commandes plus complexes.
Un faux CAPTCHA Cloudflare signifie-t-il que Cloudflare a été piraté ?
Aucun élément figurant dans le rapport de 2026 n'indique que Cloudflare ait été piraté. Les pirates imitent les fenêtres contextuelles de type CAPTCHA ou Turnstile de Cloudflare sur les sites web piratés afin de susciter la confiance des utilisateurs grâce à une interface familière.
Quelle est la fonctionnalité principale de TerminalFix ?
La charge utile finale signalée est un implant de tunnel inversé basé sur Python, utilisant le trafic TLS/WebSocket sortant via le port 443. Elle permet aux attaquants d'accéder à un proxy TCP de type SOCKS5 via l'hôte infecté.
Que dois-je faire si un utilisateur a copié-collé la commande ?
Isolez le périphérique, recueillez des preuves, recherchez le hachage ZIP signalé, les chargements latéraux de DLL, les clés de persistance et les tâches planifiées, puis examinez les journaux d'identité et de réseau à la recherche de mouvements latéraux. Considérez l'hôte comme un point de pivot potentiel.
Microsoft a-t-il surveillé l'activité sur le clavier ?
Microsoft a déclaré le 28 août 2026 n’avoir observé aucune action en aval impliquant l’utilisation d’un clavier dans la chaîne analysée. Cela affaiblit un élément de preuve, mais n’élimine pas pour autant le risque lié à l’existence d’un tunnel inverse opérationnel.
FR 
EN 
ES