Microsoft ha pubblicato il 28 agosto 2026 l'analisi di TerminalFix, una nuova variante della famiglia ClickFix che, invece di portare la vittima sulla finestra "Esegui" di Windows, la indirizza verso Windows Terminal o PowerShell. Sembra un dettaglio estetico. Non lo è: è una scelta ingegneristica precisa, perché aumenta la probabilità che uno script complesso, su più righe, venga eseguito per intero anziché troncarsi.

La campagna, descritta dai ricercatori Sagar Patil, Suriyaraj Natarajan e Parasharan Raghavan, colpisce organizzazioni di settori diversi e non sfrutta alcuna vulnerabilità software. Il comando lo digita l'utente.

Come funziona la catena

Il punto di partenza sono siti web legittimi compromessi. Il visitatore vede per un istante la pagina reale, poi un overlay la sostituisce: è una riproduzione convincente della verifica Cloudflare Turnstile, con tanto di logo, casella "Verify you are human" e animazione di caricamento. Quando l'utente interagisce con il finto controllo, un comando PowerShell malevolo viene copiato silenziosamente negli appunti, mentre le istruzioni a schermo lo invitano ad aprire il terminale e a incollarlo.

Da lì la catena descritta da Microsoft procede su più stadi:

  1. Il comando PowerShell scarica un archivio ZIP che contiene un binario legittimo (LockScreenContentServer.exe) e una DLL malevola (dui70.dll). È DLL sideloading: il processo che parte è firmato e credibile, il codice che gira dentro non lo è.
  2. La DLL recupera i payload successivi nascosti dentro immagini PNG (steganografia) su domini esterni, fra cui bestsocialmedianewspapper[.]com e offlineupdater[.]com.
  3. La persistenza viene stabilita due volte: chiavi di registro Run e attività pianificate.
  4. Parte la ricognizione: metadati di sistema, domain trust discovery, enumerazione dei domain admin, ricerca di utenti e computer in Active Directory, ping ai server per mappare la topologia interna.
  5. Viene installato un impianto reverse tunnel scritto in Python (client.py) che incapsula traffico TCP arbitrario verso l'infrastruttura dell'attaccante (gitnow[.]dev:443) su un canale WebSocket cifrato.
  6. In parallelo resta attivo un ciclo PowerShell che sorveglia un file di testo, esegue con Invoke-Expression i comandi che vi compaiono e scrive l'output su un secondo file.

Il passaggio che cambia la natura dell'incidente è il quinto. Il tunnel non serve soltanto a far uscire i dati: consente al server di comando e controllo di raggiungere qualsiasi host visibile dalla rete della vittima. La postazione compromessa smette di essere un endpoint infetto e diventa un proxy di rete stabile, con la stessa visibilità della persona che ci lavora.

Perché non è "l'ennesimo ClickFix"

Le campagne ClickFix viste finora consegnavano quasi sempre un infostealer: rumorose, monouso, con un danno circoscritto alle credenziali salvate nel browser. Qui il profilo è un altro.

C'è un impianto su misura, non un tool comprato a listino. C'è una fase di ricognizione di Active Directory che ha senso solo se l'obiettivo è muoversi lateralmente. C'è una doppia persistenza, che presuppone di voler restare a lungo. E c'è un canale di accesso alla rete interna, cioè esattamente ciò che un affiliato ransomware compra sul mercato degli initial access broker. Microsoft è esplicita nell'osservare che questo tipo di accesso può essere usato per scalare privilegi, disattivare i controlli di sicurezza, esfiltrare dati e distribuire ransomware.

In altre parole: la stessa tecnica di ingresso, ma con dietro un'operazione strutturata.

Cosa significa per le aziende italiane

Primo: qui il perimetro tecnico non aiuta. Non c'è una CVE da correggere, non c'è una patch da applicare. L'esecuzione la compie l'utente, volontariamente, su un computer aziendale, dentro un terminale che nella maggior parte dei parchi macchine italiani è perfettamente lecito aprire. Chi misura la propria postura di sicurezza sul numero di sistemi aggiornati, qui non misura nulla.

Secondo: la formazione antiphishing italiana è tarata sul bersaglio sbagliato. La quasi totalità dei percorsi di security awareness che si incontrano nelle aziende italiane insegna due cose: non aprire allegati inattesi e non inserire credenziali su pagine raggiunte da un link. TerminalFix non chiede né l'una né l'altra cosa. Chiede di dimostrare di essere umani, un gesto che l'utente compie decine di volte alla settimana e che ha imparato ad associare alla sicurezza, non al rischio. Il messaggio da far passare è uno solo, ed è breve: nessun CAPTCHA legittimo chiede mai di incollare un comando in un terminale.

Terzo: il diritto di amministratore locale. Nelle PMI italiane, e non soltanto lì, è ancora la norma che l'utente sia amministratore della propria macchina, spesso per ragioni pratiche ereditate da gestionali che lo pretendevano dieci anni fa. Con quel privilegio la catena descritta da Microsoft gira senza ostacoli: sideloading, attività pianificate, chiavi di registro, tunnel in uscita. Senza, diversi passaggi diventano rumorosi o falliscono.

Quarto: la ricognizione dice qual è l'obiettivo vero. Un attaccante che enumera i domain admin e mappa i trust di dominio non sta cercando le password salvate nel browser: sta cercando il domain controller. Per un'azienda manifatturiera con un'unica foresta Active Directory e i backup dentro lo stesso dominio, configurazione che chi fa questo mestiere in Italia incontra ogni settimana, la distanza fra "un dipendente ha incollato un comando" e "la produzione è ferma e cifrata" si misura in giorni.

Il contesto normativo

Per i soggetti che ricadono nel perimetro NIS2 (in Italia il d.lgs. 138/2024) due obblighi diventano molto concreti proprio su un caso come questo.

Il primo è la formazione: le misure di gestione del rischio comprendono esplicitamente la sensibilizzazione del personale, e un percorso che non copre le tecniche di social engineering basate sull'esecuzione volontaria di comandi è oggi incompleto.

Il secondo è la notifica: la pre-notifica al CSIRT Italia va trasmessa entro 24 ore dalla conoscenza dell'incidente significativo, la notifica completa entro 72 ore. La finestra è stretta e la decisione va presa mentre l'analisi forense è ancora in corso.

Se durante il periodo di accesso sono stati esfiltrati dati personali si aggiunge l'art. 33 GDPR, con le sue 72 ore verso il Garante. C'è però un punto che in questi incidenti si sottovaluta: con un reverse tunnel attivo la difficoltà non è stabilire se ci sia stato un accesso, ma dimostrare cosa sia effettivamente passato. Senza log di rete e senza script block logging, la risposta onesta all'autorità diventa "non possiamo escluderlo" — e quella risposta produce conseguenze molto diverse rispetto a un perimetro di impatto documentato.

Cosa fare subito

  • Limitare l'esecuzione di PowerShell per gli utenti standard con AppLocker, App Control for Business o criteri di gruppo; dove possibile attivare il constrained language mode.
  • Valutare il blocco o l'audit della finestra Esegui (Win+R) se non serve, e verificare chi ha davvero bisogno di Windows Terminal.
  • Abilitare lo script block logging di PowerShell e inoltrarlo al SIEM: senza, i comandi offuscati non lasciano tracce utilizzabili.
  • Cercare indicatori di DLL sideloading, in particolare LockScreenContentServer.exe che carica un dui70.dll fuori dai percorsi di sistema.
  • Bloccare su DNS e proxy i domini indicati da Microsoft e monitorare le connessioni WebSocket in uscita sulla porta 443 verso destinazioni non riconosciute.
  • Rivedere attività pianificate e chiavi di registro Run create di recente sulle postazioni.
  • Ridurre i diritti di amministratore locale: è la singola misura che degrada di più questa catena d'attacco.
  • Aggiornare la formazione con un messaggio operativo e memorizzabile sulla verifica "sei umano" che chiede di incollare un comando.
  • Predisporre in anticipo l'istruttoria di notifica: chi decide, sulla base di quali dati, entro quante ore. Improvvisarla il giorno dell'incidente costa più dell'incidente.

Il punto di fondo è che TerminalFix non è un problema di software ma di superficie di esecuzione. E quella superficie, nella maggior parte delle organizzazioni italiane, è ancora completamente aperta.