TerminalFix: Sahte CAPTCHA'dan PowerShell'e Dört Aşamalı Saldırı Zinciri
Cloudflare'in doğrulama penceresi ekrana beliriyor, tanıdık mavi onay kutusu gözüküyor. Sıradan bir güvenlik önlemi gibi görünüyor—ama "Doğrula" düğmesine bastığında, Windows Terminal açılmanı ve içine dört satırlık bir PowerShell komutu yapıştırmanı istiyor. Microsoft bu yöntemle başlayan ve TerminalFix adını verdiği kampanyada, kullanıcıların meşru ikili dosyalar üzerinden DLL sideloading yaparak bir ağ pivot noktası kurulduğunu tespit etti. Sahte CAPTCHA, ele geçirilmiş web sitelerinde barındırılıyor; kullanıcı komutu yapıştırdığı anda, PNG içine gizlenmiş yüklerden başlayarak dört aşamalı bir zincirleme başlıyor. Sonunda saldırgan, gitnow[.]dev:443 üzerinden kurduğu ters tünelle dahili ağa SOCKS5 proxy erişimi kazanıyor.
Sahte CAPTCHA'dan Terminal'e: ClickFix varyantının başladığı yer
TerminalFix, daha önce görülen ClickFix kampanyalarının evrimleşmiş bir türevi. Fark kritik: eski saldırılar kullanıcıyı Windows'un Çalıştır penceresine (Win+R) komut yapıştırmaya yönlendiriyordu; TerminalFix ise doğrudan Windows Terminal veya PowerShell'e yönlendiriyor. PowerShell çok satırlı, karmaşık betiğin tam olarak çalışma olasılığını artırıyor; Çalıştır penceresinde kısıtlı alan ve anlık hata alma riski daha yüksek. Sahte CAPTCHA ekranı Cloudflare'in orijinal tasarımını taklit ediyor; kullanıcı doğrulamayı tamamlamak için adımları izlediğinde, önce Ctrl+C ile panoyu doldurması, ardından terminal açıp Ctrl+V ile yapıştırması isteniyor.
PowerShell komutu basit görünse de içi paketli. Komut satırı, uzak bir sunucudan ZIP arşivi indirip yerel dizine açıyor. ZIP içinde iki dosya var: LockScreenContentServer.exe ve dui70.dll. Exe dosyası Windows'un meşru, dijital imzalı ikili dosyası; ancak saldırgan, onun yanına kendi sahte DLL'sini yerleştirerek DLL sideloading tetikliyor. Windows, meşru exe başladığında aynı dizindeki dui70.dll'i yüklüyor—fakat bu, gerçek sistem DLL'i değil, saldırganın kodu.
DLL sideloading ve PNG steganografi: Yük mekanizması
LockScreenContentServer.exe çalıştığında dui70.dll'i yüklüyor; bu sahte DLL, ikinci aşama yüklerini indirmek için harici domainlere bağlanıyor. Yükler sıradan ikili dosya olarak indirilmiyor. Bunun yerine, PNG resim dosyaları kullanılıyor ve içlerinde steganografi yöntemiyle ikili kod saklanıyor. Saldırgan, PNG'nin RGBA piksel kanallarına DLL parçalarını kodluyor; her pikselin kırmızı, yeşil, mavi, alfa değerleri aslında byte dizileri taşıyor. Kötü amaçlı DLL, bu PNG'leri indirip dekoduyor, parçaları birleştirip bellekte yeni bir DLL oluşturuyor.
Microsoft'un analizinde, yükün birden fazla PNG'ye bölündüğü görülüyor; bu, güvenlik araçlarının imza tabanlı taramasını zorlaştırıyor. Disk üzerinde exe ve DLL var, ama sonraki aşama yükleri disk yerine bellekte derlendiği için dosya tabanlı taramalar atlatılıyor.
Kalıcılık için iki yöntem aynı anda devreye giriyor: Registry Run anahtarları ve zamanlı görevler. Registry anahtarı, her kullanıcı oturum açtığında PowerShell betiğini yeniden çalıştırıyor. Zamanlanmış görev ise her 60 dakikada bir kötü amaçlı DLL'i yeniden yükleyerek oturum kapansa bile erişimi koruyor. İki yedekleme mekanizması, cihazdan kolay temizlenmeyi engelliyor; biri silinse diğeri devam ediyor.
Ters tünel gitnow[.]dev'e: SOCKS5 proxy ile kalıcı ağ erişimi
Son yük client.py adındaki Python tabanlı bir ters tünel istemcisidir. Bu yük, gitnow[.]dev:443 adresine şifrelenmiş bir WebSocket kanalı açıyor ve SOCKS5 tarzı TCP proxy olarak çalışıyor. SOCKS5 proxy, saldırgana TCP bağlantılarını rastgele dahili IP adreslerine ve portlara yönlendirme imkânı veriyor.
Microsoft bu aşamayı önemle vurguluyor: tehdit alan bir cihaz, saldırganın dahili ağ erişimini miras bırakıyor. Eğer o cihaz Active Directory'ye bağlıysa ve internal servislere erişimi varsa, saldırgan aynı izinlere sahip oluyor. Ters tünel kullanımı, güvenlik duvarlarını ve NAT'ı atlatıyor; tehdit alan cihaz dışarıya HTTPS bağlantısı açtığı için, giden trafik meşru görünüyor.
Gitnow[.]dev, GitHub benzeri bir isim kullanıyor ancak meşru bir servis değil. Saldırganın kontrolündeki bir sunucuya işaret ediyor; WebSocket trafiği TLS ile şifrelendiği için, derinlemesine paket incelemesi (DPI) bile içeriği görmekte zorlanıyor. Python tabanlı istemci, kurban cihazda sürekli çalışıyor; bağlantı kopsa bile otomatik yeniden bağlanma mekanizması var.
Active Directory keşif: Neden sunucu envanteri kritik
Microsoft'un raporunda, malware'in sistematik ağ keşif adımlarını detaylıca belgelemiş. İlk aşamada, etki alanı güveni numaralandırması yapılıyor: nltest /domain_trusts komutuyla Active Directory ortamındaki tüm güven ilişkileri çıkarılıyor. Bu, saldırgana hangi başka etki alanlarının erişilebilir olduğunu gösteriyor.
Etki alanı yöneticisi (domain admin) kullanıcıları net group "Domain Admins" /domain komutuyla çıkarılıyor. Bu yüksek yetkili hesapların listesi, lateral hareket için kritik başlangıç noktasıdır. Bunun yanında, Active Directory'deki kullanıcı nesnelerinin "description" alanı taranıyor; bu alanlarda bazen parolalar, geçici notlar veya yedekleme bilgileri saklanabilir.
En dikkat çekici adım, sunucu isimlerini tahmin edip ping atan döngüdür: DC01, WEB01, SQL01 gibi yaygın sunucu isimlendirme standartları test ediliyor. Hangi sunucular cevap veriyorsa, o sistemlerin IP adresleri ve erişim durumu kaydediliyor. Saldırgan, hangi sistemlerin kritik (Domain Controller, SQL Server, dosya sunucusu) olduğunu çıkarıp hedeflerini belirliyor.
Microsoft raporunda, analiz edilen örnekte doğrudan kimlik bilgisi hırsızlığı veya lateral hareket gözlemlenmediği açıkça belirtiliyor. Ancak keşif altyapısı tam hazırlanmış durumda: SOCKS5 proxy erişimi mevcut, etki alanı yapısı çıkarıldı, sunucu envanteri alındı.
Tehdit alan cihazları ağ pivot noktası olarak ele almak
Microsoft'un analizi, tehdit alan bir cihazın artık sadece lokal güvenlik olayı olmadığını gösteriyor. SOCKS5 proxy, saldırgana tehdit alan cihazın ağ erişimini miras bırakıyor. Eğer o cihaz Active Directory'ye bağlıysa ve internal servislere erişimi varsa, saldırgan aynı izinlere sahip oluyor.
Kuruluşlar bu cihazlara "ödüllü giriş noktası" (compromised entry point) gözüyle bakmalı. Gerekli adımlar:
- Ağ segmentasyonu: Cihaz izole edilmeli; kritik sunuculara erişimi durdurulmalı. - Kimlik bilgisi rotasyonu: Cihazda oturum açmış kullanıcı hesaplarının parolaları değiştirilmeli; Active Directory kimlik bilgileri yenilenene kadar lateral hareket riski sürüyor. - EDR ve SIEM tarama: gitnow[.]dev, LockScreenContentServer.exe ve dui70.dll indikasyonları aranmalı. WebSocket trafiği ve dış bağlantılar gözden geçirilmeli. - PowerShell loglama: Script Block Logging ve Transcription logları aktif olmalı; karmaşık komut zincirleri tespit edilebilir.
Microsoft'un belirttiği gibi, keşif sonrası aşama analiz edilen kampanyalarda gözlemlenmemiş; ancak bu, saldırganın nihai hedefinin ransomware, veri sızdırma, kimlik bilgisi hasat veya güvenlik kontrollerini devre dışı bırakma olabileceği anlamına geliyor.
Sahte CAPTCHA'yı tanımak ve önlem almak
Sahte CAPTCHA saldırıları yeni değil, ancak terminal odaklı yöntemi ilk kez TerminalFix'te bu kadar düzenli kullanılıyor. Kullanıcıların dikkat etmesi gereken sinyaller:
- CAPTCHA doğrulaması terminal komutu istiyorsa: Hiçbir meşru CAPTCHA, kullanıcıdan Windows Terminal açmasını ve komut yapıştırmasını istemez. Bu, anında tehdit sinyalidir. - Cloudflare gibi görünen, ama farklı domain: Cloudflare CAPTCHA'ları challenges.cloudflare.com gibi resmi alanlardan geliyor. Başka bir domain (özellikle ele geçirilmiş site) üzerinden "doğrulama" talep eden ekranlar şüpheli. - PowerShell veya terminal açmayı gerektiren talimat: Kullanıcı eğitimi bu noktaya odaklanmalı.
Önlemler:
- Execution Policy sıkılaştırma: PowerShell'in Set-ExecutionPolicy RemoteSigned veya AllSigned ayarlarıyla kısıtlanması, imzasız betiğin çalışmasını önler. - AMSI etkin tutma: Anti-Malware Scan Interface, PowerShell'de bellek içi tarama yaparak kötü amaçlı komutları engelleyebilir. - Kullanıcı eğitimi: "CAPTCHA sizi terminal açmaya yönlendiriyorsa, sayfayı kapatın ve güvenlik ekibinize bildirin" kuralı iletilmeli. - URL filtering: Ele geçirilmiş sitelerin çoğu, IOC listeleri ve threat intelligence feedleri aracılığıyla tespit edilebilir. Kurumsal proxy/firewall bu adresleri bloklamalı.
TerminalFix'in bulut ve güvenlik ekipleri için getirdiği dersler
Bu kampanya, sosyal mühendislik basitliği ile teknik karmaşıklığın birleşiminin ne kadar etkili olabileceğini gösteriyor. Sahte CAPTCHA, kullanıcının bilgisayar yetenekleriyle alakalı olmayan bir güvenlik açığını hedefliyor; insanlar güvenlik adımlarına uymaya alışık. Bir kez komut yapıştırıldıktan sonra, gerisi tamamen otomatik: DLL sideloading, steganografi, proxy tüneli, keşif komutları—hiçbiri kullanıcı müdahalesine gerek duymadan ilerliyor.
Güvenlik ekipleri için ana çıkarım:
- Endpoint detection yeterli değil: Meşru ikili dosya (LockScreenContentServer.exe) kullanıldığı için, davranış tabanlı tespit kritik. Dosya izolasyonu veya program imzası tek başına yeterli olmayabilir. - Ağ trafiği görünürlüğü: gitnow[.]dev:443 gibi WebSocket tünellerini tespit etmek için, TLS incelemesi ve anomali tespiti gerekli. Normal web trafiği gibi görünse de, sürekli bağlantı ve düşük gecikme profili dikkat çekici. - Active Directory sıkılaştırma: Etki alanı yöneticisi listesi ve güven ilişkileri kolay elde ediliyorsa, saldırganın ilk keşif adımı hızla tamamlanıyor. Least privilege ilkesi ve privileged access management (PAM) uygulanmalı.
Tehdidin erken tespiti, PowerShell betiğinin ilk indirildiği anda—ya da en geç DLL sideloading başlatıldığında—yapılmalı. Ağa pivot erişimi kurulduktan sonra temizlik çok daha zor ve maliyetli oluyor.
IOC'ler ve PowerShell Loglama: Hemen uygulanacak adımlar
Active Directory ortamında Windows cihazlarını yönetiyorsanız, PowerShell Script Block Logging'i tüm cihazlarda Group Policy aracılığıyla etkinleştirin. Microsoft'un IOC listesinde şunlar yer alıyor:
- Etki alanı: gitnow[.]dev - Dosyalar: LockScreenContentServer.exe, dui70.dll
SIEM ve EDR sistemlerinizde bu indikasyonları arayın. Kullanıcılarınıza ise net bir talimat verin: CAPTCHA doğrulaması sizi terminal açmaya yönlendiriyorsa, hemen durdurun ve BT güvenlik ekibinize bildirin. Bu kampanya, sahte doğrulama ekranlarının artık sadece kimlik bilgisi değil, tüm kurumsal ağınıza kapı açabileceğini gösteriyor.
