Du kennst das Bild: „Bestätige, dass du ein Mensch bist.“ Ein blaues Cloudflare-Fenster, ein Kästchen, ein Klick. Millionen Menschen machen das täglich, ohne nachzudenken. Genau darauf zielt eine Angriffswelle, die Microsofts Sicherheitsforscher jetzt öffentlich gemacht haben — sie nennen sie TerminalFix.
Der Clou: Das Captcha ist echt aussehender Fake. Und statt eines Häkchens bekommst du eine Anleitung. Eine Anleitung, die dich Schritt für Schritt dazu bringt, dir selbst eine Hintertür zu installieren.
SO LÄUFT DIE FALLE AB
Der Einstieg sind ganz normale, aber gekaperte Webseiten. Wer sie besucht, sieht eine gefälschte Cloudflare-Überprüfung. Die fordert dich auf, einen Befehl zu kopieren und ihn im Windows Terminal oder in PowerShell auszuführen — angeblich, um die Prüfung abzuschließen.
Das ist der eigentliche Trick. Die bekannte Masche heißt ClickFix und schickt Opfer sonst in den kleinen „Ausführen“-Dialog von Windows. Der ist eng, unübersichtlich und verträgt keine langen Skripte. Windows Terminal dagegen schluckt mehrzeilige Befehle anstandslos. Microsoft schreibt genau das als Motiv: Die Wahrscheinlichkeit, dass komplexe Skripte sauber durchlaufen, steigt damit deutlich.
Und du selbst tippst Enter. Kein Exploit, keine Lücke im Browser, kein Warnfenster von Windows. Der Angriff braucht nur dein Vertrauen.
TARNUNG IM BILD, TUNNEL IM NETZ
Was danach passiert, ist deutlich aufwendiger als bei früheren ClickFix-Wellen. Die endeten meist bei einem simplen Passwort-Dieb. TerminalFix fährt eine mehrstufige Kette auf:
- DLL-Sideloading: Schadcode wird über ein harmloses, signiertes Programm nachgeladen — das sieht für Schutzsoftware nach normalem Betrieb aus.
- Steganografie: Die eigentliche Nutzlast steckt versteckt in einer Bilddatei. Ein Bild lädt niemand mit Argwohn herunter.
- Active-Directory-Erkundung: Die Angreifer sehen sich in Ruhe an, wer im Netz welche Rechte hat.
- Reverse-Tunnel-Implantat: Am Ende steht ein eigener Rückkanal, der den befallenen Rechner zum Proxy ins gesamte Netzwerk macht.
Dieser letzte Punkt ist der gefährliche. Ein Reverse Tunnel baut die Verbindung von innen nach außen auf — deine Firewall sieht ausgehenden Verkehr und lässt ihn durch. Von da an sitzt der Angreifer bequem im Netz, ohne je durch die Haustür gegangen zu sein.
WAS DARAUS WERDEN KANN
Microsoft ist an dieser Stelle ehrlich: In der analysierten Kette wurden die nächsten Schritte nicht beobachtet. Die Forscher benennen aber, wofür sich so ein Zugang eignet — seitliche Ausbreitung im Netz, Rechteausweitung, Diebstahl von Zugangsdaten, Abschalten von Schutzsoftware, Datenabfluss und am Ende Ransomware.
Betroffen sind laut Microsoft Organisationen aus mehreren Branchen. Das Muster funktioniert aber genauso im Heimnetz. Wer seinen Homelab-Server, sein NAS und den Arbeitsrechner im selben Netz betreibt, hat nach so einem Copy-Paste alles auf einmal offen liegen.
SO SCHÜTZT DU DICH — IN 3 MINUTEN
Merksatz Nummer eins: Keine echte Captcha-Prüfung der Welt verlangt jemals, dass du etwas in ein Terminal einfügst. Nicht bei Cloudflare, nicht bei Google, nirgends. Sobald eine Webseite dich zur Kommandozeile schickt, ist der Fall klar.
Konkret hilft dir das hier:
- Zwischenablage misstrauisch behandeln: Vor dem Einfügen in ein Terminal den Inhalt erst in einen Texteditor kippen und lesen.
- Auf Warnzeichen achten:
-enc,FromBase64String,-w hidden,iwr/Invoke-WebRequestmit fremder Adresse — alles davon gehört nicht in ein Captcha. - Im Familien- oder Firmennetz: PowerShell-Skriptblock-Protokollierung einschalten, damit du hinterher überhaupt sehen kannst, was lief.
- Ausgehenden Verkehr im Blick behalten. Ein Reverse Tunnel fällt nur auf, wenn jemand hinschaut.
- Und der Klassiker: Netz trennen. Server, Smart-Home-Kram und Arbeitsrechner gehören nicht in dasselbe VLAN.
FAZIT: TerminalFix bricht in nichts ein. Es überredet. Genau deshalb ist es so wirksam — und genau deshalb hilft dagegen keine Software, sondern eine Sekunde Nachdenken vor dem Enter.