La tecnica ClickFix, basata su falsi CAPTCHA e istruzioni apparentemente legittime, evolve con una variante indicata come TerminalFix. La catena di attacco punta a convincere la vittima a eseguire comandi sul proprio dispositivo, trasformando un’interazione di social engineering in un possibile accesso alla rete aziendale.

Secondo le analisi disponibili, l’esca iniziale simula una verifica anti-bot o un passaggio di sicurezza del browser. L’utente viene guidato a copiare ed eseguire comandi, spesso tramite PowerShell o terminale, aprendo la strada a fasi successive più tecniche e meno visibili.

Dalla verifica falsa alla ricognizione interna

TerminalFix non si limita all’esecuzione iniziale. La catena può avviare attività di ricognizione dell’ambiente, incluse verifiche su Active Directory e informazioni utili a comprendere la struttura della rete. Questo passaggio consente agli attaccanti di valutare privilegi, domini e potenziali percorsi di movimento laterale.

Un ulteriore elemento di rischio è la possibilità di creare un reverse tunnel, cioè un canale di comunicazione che rende l’endpoint compromesso un punto di ingresso verso risorse interne. In uno scenario aziendale, questo può trasformare un singolo errore dell’utente in una compromissione con impatto più ampio.

Le difese prioritarie

La mitigazione richiede controlli tecnici e formazione mirata. È utile limitare l’esecuzione di script non autorizzati, monitorare comandi anomali lanciati da browser o processi utente, rafforzare le policy PowerShell e rilevare connessioni in uscita compatibili con tunnel non autorizzati.

Sul piano operativo, le aziende dovrebbero trattare i falsi CAPTCHA come un vettore di attacco concreto, non come semplici tentativi di phishing generico. Procedure di segnalazione rapide e analisi degli endpoint coinvolti restano decisive per interrompere la catena prima che l’attaccante ottenga visibilità sulla rete interna.