TerminalFix ใช้ CAPTCHA ปลอมของ Cloudflare สร้าง Reverse‑Tunnel ผ่าน Windows Terminal หรือ PowerShell

Lead: Microsoft เผยรายละเอียดของกลุ่มอันตรายที่ปรับเปลี่ยนเทคนิคคลาสสิกของแคมเปญ ClickFix ให้เป็นรุ่นใหม่ชื่อ TerminalFix ซึ่งหลอกให้ผู้ใช้เรียกคำสั่งอันตรายใน Windows Terminal หรือ PowerShell** แทนการใช้กล่อง Run ธรรมดา การโจมตีนี้ยังซ่อนหน้าจอ CAPTCHA ปลอมของ Cloudflare เพื่อสร้างช่องทางย้อนกลับ (reverse‑tunnel) ให้ผู้ร้ายเข้าถึงระบบได้อย่างเงียบ ๆ

Overview

ตามที่ Microsoft รายงาน TerminalFix เป็นการต่อยอดจากแคมเปญ ClickFix ที่เคยใช้วิธีพุ่งผู้ใช้ไปยังกล่อง Run ของ Windows เพื่อให้พิมพ์คำสั่งอันตราย โดยในเวอร์ชันใหม่ ผู้ร้ายได้เปลี่ยนเป้าหมายเป็น Windows Terminal หรือ PowerShell ซึ่งเป็นเครื่องมือที่ผู้ดูแลระบบและนักพัฒนามักใช้งานบ่อย การย้ายไปยังเทอร์มินัลเหล่านี้ทำให้ความซับซ้อนของคำสั่งสามารถทำงานได้เต็มรูปแบบโดยไม่ต้องอาศัยการคลิกเพิ่มเติม

จากข้อมูลของ Microsoft พบว่าผู้ร้ายมักส่งลิงก์ฟิชชิงผ่านอีเมลหรือช่องโซเชียลมีเดีย โดยหน้าต่าง CAPTCHA ปลอมที่ออกแบบให้เหมือนกับของ Cloudflare จะทำให้ผู้ใช้คิดว่าเป็นการยืนยันความปลอดภัยตามปกติ ก่อนที่ผู้ใช้จะคลิก “Verify” คำสั่งอันตรายก็ถูกส่งไปยังเทอร์มินัลและเริ่มดำเนินการ

Attack Vector

กลไกของ TerminalFix ประกอบด้วยหลายขั้นตอนหลัก:

• ผู้ร้ายส่งลิงก์ที่ดูเหมือนเป็นหน้า Cloudflare CAPTCHA ไปยังผู้ใช้
• เมื่อผู้ใช้คลิกเพื่อทำการยืนยัน ระบบจะเปิด Windows Terminal หรือ PowerShell พร้อมสคริปต์ PowerShell ที่ฝังคำสั่งดาวน์โหลดและเรียกใช้งานไฟล์อันตรายจากเซิร์ฟเวอร์ควบคุมของโจร

การใช้หน้า CAPTCHA ปลอมทำให้ขั้นตอนแรกดูเหมือนเป็นกระบวนการตรวจสอบความปลอดภัยธรรมดา ลดโอกาสที่ผู้ใช้จะสงสัย นอกจากนี้ การเรียกคำสั่งผ่านเทอร์มินัลโดยตรงยังช่วยข้ามการกรองของระบบป้องกันพื้นฐานที่อาจทำงานได้ดีบนกล่อง Run

Technical Details

สคริปต์ PowerShell ที่ถูกส่งมักประกอบด้วยคำสั่ง Invoke‑Expression หรือ IEX เพื่อดึงโค้ดจาก URL ภายนอก จากนั้นสร้างการเชื่อมต่อ reverse‑tunnel ไปยังเซิร์ฟเวอร์ C2 (Command and Control) ของผู้ร้าย การเชื่อมต่อนี้ใช้โปรโตคอล HTTPS เพื่อตกแต่งให้ดูเหมือนการสื่อสารปกติของเว็บ

Microsoft ยังระบุว่าไฟล์อันตรายที่ถูกดาวน์โหลดมักเป็น .exe หรือ .dll ที่ทำหน้าที่เป็นตัวโหลด (loader) เพื่อเปิดใช้งานโมดูลเพิ่มเติม เช่น ตัวขโมยข้อมูลบัญชีผู้ใช้, ตัวติดตามเครือข่าย, หรือแม้กระทั่งรันโค้ดเพื่อขยายอำนาจในระบบ

Mitigation & Detection

Microsoft แนะนำขั้นตอนป้องกันและตรวจจับที่สำคัญสำหรับองค์กรและผู้ใช้ส่วนบุคคล ได้แก่

• ปรับการตั้งค่า Windows Terminal ให้บังคับให้เปิดด้วยสิทธิ์มาตรฐาน (non‑admin) โดยค่าเริ่มต้น
• เปิดใช้งาน PowerShell Constrained Language Mode หรือ Applocker เพื่อจำกัดสคริปต์ที่ไม่ได้รับอนุมัติให้ทำงาน
• ตรวจสอบเหตุการณ์ใน Event Viewer ที่เกี่ยวข้องกับการเปิด PowerShell ผ่านพารามิเตอร์ `-EncodedCommand` หรือ `IEX`

นอกจากนี้ การใช้โซลูชัน EDR (Endpoint Detection and Response) ที่สามารถตรวจจับพฤติกรรมการสร้าง reverse‑tunnel และการดาวน์โหลดไฟล์จาก URL ไม่รู้จัก จะช่วยลดความเสี่ยงของการติดตั้ง backdoor ได้อย่างมีประสิทธิภาพ

Impact on Enterprises

แม้ว่าแคมเปญ TerminalFix ยังอยู่ในระยะเริ่มต้น แต่ตามที่ Microsoft ระบุ การโจมตีแบบนี้อาจทำให้ระบบภายในองค์กรเสียหายได้หลายระดับ หากผู้ร้ายสามารถสร้างช่องทาง reverse‑tunnel ได้สำเร็จ จะสามารถเข้าถึงข้อมูลภายในเครือข่าย, ขโมย credential หรือแม้กระทั่งตั้งค่า ransomware ในขั้นตอนต่อไป

การที่เทคนิคนี้มุ่งเน้นไปยังเครื่องมือของผู้ดูแลระบบทำให้ความเสี่ยงต่อองค์กรระดับกลางถึงสูงเพิ่มขึ้น โดยเฉพาะในสภาพแวดล้อมที่มีการใช้ Windows Terminal อย่างกว้างขวางโดยไม่มีมาตรการควบคุมสิทธิ์อย่างเข้มงวด

Analysis

จากมุมมองของผู้เชี่ยวชาญด้านความปลอดภัย การนำหน้า CAPTCHA ของ Cloudflare มาเป็นส่วนหนึ่งของกระบวนการฟิชชิงแสดงถึงแนวโน้มที่ผู้ร้ายพยายามทำให้ขั้นตอนแรกของการโจมตีดูสมจริงและน่าเชื่อถือยิ่งขึ้น การใช้ Windows Terminal หรือ PowerShell แทน Run dialog ยังสะท้อนให้เห็นว่าผู้ร้ายกำลังศึกษาเครื่องมือหลักของระบบ Windows อย่างละเอียดเพื่อเพิ่มโอกาสสำเร็จ

อย่างไรก็ตาม จุดอ่อนที่อาจถูกนำมาประกอบการป้องกันคือ การตรวจจับพฤติกรรมของ PowerShell ที่ไม่เป็นมาตรฐาน รวมถึงการตั้งค่าเพื่อลดสิทธิ์ของเทอร์มินัลโดยอัตโนมัติ ซึ่งจะทำให้ผู้โจมตีต้องเผชิญกับขั้นตอนเพิ่มขึ้นก่อนที่จะบรรลุเป้าหมาย

Summary

Microsoft เผยว่า TerminalFix ใช้หน้า CAPTCHA ปลอมเพื่อหลอกให้ผู้ใช้เรียกคำสั่งอันตรายใน Windows Terminal หรือ PowerShell, จากนั้นสร้าง reverse‑tunnel เพื่อเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม การป้องกันต้องอาศัยการจำกัดสิทธิ์ของเทอร์มินัล, การตรวจจับพฤติกรรม PowerShell ที่ผิดปกติ และการใช้โซลูชัน EDR เพื่อลดความเสี่ยงต่อองค์กร.