TerminalFix: BSI warnt vor gefälschten CAPTCHAs, die Ihre Mitarbeiter zu Angreifern machen

Das BSI hat am 4. September 2026 gewarnt, dass deutsche Institutionen über die Angriffskampagne „TerminalFix“ kompromittiert wurden. Der Trick: Ein gefälschtes Cloudflare-CAPTCHA fordert Beschäftigte auf, einen Befehl in die Windows-Eingabeaufforderung einzufügen – und installiert damit die Schadsoftware eigenhändig. Weil hier keine Schwachstelle, sondern der Mensch das Einfallstor ist, hilft kein Patch, sondern nur Aufklärung und technische Absicherung.

Was ist passiert?

Nach Analyse eines Vorfalls bei einer staatlichen Einrichtung ordnet das BSI den Angriff der von Microsoft beschriebenen Kampagne „TerminalFix“ zu. Es handelt sich um eine Weiterentwicklung der bekannten ClickFix-Masche: Statt in den „Ausführen“-Dialog von Windows sollen Opfer den Befehl diesmal in Windows Terminal oder PowerShell einfügen.

Der Ablauf laut Microsoft: Auf kompromittierten Webseiten erscheint ein gefälschtes Cloudflare-CAPTCHA, das zum Einfügen eines Befehls auffordert. Wird dieser ausgeführt, lädt im Hintergrund ein ZIP-Archiv, eine Batch-Datei startet die Infektionskette, und über DLL-Sideloading (u. a. getarnt als LockScreenContentServer.exe) wird die Schadsoftware in legitime Prozesse eingeschleust. Am Ende steht ein Python-basierter Reverse-Tunnel, der über TLS/443 nach außen aufbaut und dem Angreifer einen SOCKS-artigen Zugang ins interne Netz verschafft. Das BSI schreibt die Software derselben finanziell motivierten Gruppe zu, die hinter der Rhysida-Ransomware steht. Die Warnung ist als hoch kritisch (Stufe 2) eingestuft.

Wer ist betroffen?

Betroffen ist praktisch jede Organisation mit Windows-Arbeitsplätzen – unabhängig von Branche oder Größe. Die Kampagne zielt nicht auf ein bestimmtes Produkt, sondern auf Menschen: Sie funktioniert überall dort, wo Beschäftigte im Web unterwegs sind und PowerShell bzw. Windows Terminal nutzen können. Für KMU ist das Risiko besonders hoch, weil oft kein zentrales Monitoring läuft, das den Reverse-Tunnel im ausgehenden Verkehr auffällig machen würde.

Was jetzt zu tun ist

1. Mitarbeitende sofort sensibilisieren: Kein CAPTCHA, keine „Verifizierung“ und keine Webseite fordert jemals dazu auf, einen Befehl zu kopieren und in Windows Terminal, PowerShell oder den Ausführen-Dialog einzufügen. Solche Aufforderungen sind immer ein Angriff.
2. PowerShell und Windows Terminal einschränken: Ausführung per AppLocker bzw. Richtlinien für Standardbenutzer begrenzen (Constrained Language Mode, Skript-Ausführung).
3. Ausgehenden Verkehr im Blick behalten: Ungewöhnliche, dauerhafte TLS-Verbindungen auf Port 443 zu unbekannten Zielen prüfen; wo möglich Egress filtern.
4. Auf DLL-Sideloading und verdächtige Prozesse achten: Insbesondere legitime Prozessnamen an ungewöhnlichen Speicherorten kontrollieren.
5. Bei Verdacht Zugangsdaten rotieren: Von einer Netzwerk-Kompromittierung ausgehen, betroffene Konten sperren und Passwörter zurücksetzen.

So hilft Binary System Services

Wir schulen Ihr Team gezielt zu ClickFix- und TerminalFix-Maschen, härten Windows-Arbeitsplätze per Richtlinie gegen unbefugte PowerShell-Nutzung und richten ein Monitoring ein, das verdächtige ausgehende Verbindungen und DLL-Sideloading frühzeitig meldet. Bei Verdacht auf einen bereits erfolgten Zugriff unterstützen wir bei Analyse, Eindämmung und Wiederherstellung. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.