Bir web sitesi “İnsan olduğunuzu doğrulamak için Windows Terminal’i açın ve bu komutu yapıştırın” diyorsa doğrulama yapmıyorsunuz; bilgisayarınıza talimat veriyorsunuz. Microsoft Threat Intelligence, 28 Ağustos 2026’da yayımladığı araştırmada TerminalFix adını verdiği güncel bir ClickFix kampanyasını ayrıntılandırdı. Saldırı, sahte bir Cloudflare doğrulama katmanıyla kullanıcıyı PowerShell komutu çalıştırmaya ikna ediyor; ardından zararlı yazılım kalıcılık kuruyor, kurumsal ağı keşfediyor ve ters tünel açıyor.

TerminalFix zinciri nasıl başlıyor?

Microsoft’un gözlemine göre saldırganlar önce ele geçirilmiş bir web sitesine sahte doğrulama ekranı yerleştiriyor. Kutucuğa tıklanınca panoya kötü amaçlı bir komut kopyalanıyor. Kullanıcıdan Windows Terminal veya PowerShell’i açıp komutu yapıştırması isteniyor. Gerçek CAPTCHA sistemleri, insan olduğunuzu kanıtlamak için sizden işletim sistemi kabuğunda komut çalıştırmanızı istemez.

Bu ayrım basit ama güçlüdür: Tarayıcı içindeki bir kutucuğu işaretlemek, bilgisayara komut vermek değildir. Terminal, Çalıştır penceresi, Komut İstemi veya PowerShell açılıyorsa güvenlik sınırı aşılmıştır. QR kodla başlayan kimlik avında olduğu gibi, saldırı teknik görünümü güven duygusuna dönüştürür.

Komut çalışınca ne oluyor?

İmzalı dosya güvenli görünüm sağlıyor

İlk komut bir ZIP arşivi indiriyor. Arşivde meşru ve imzalı LockScreenContentServer.exe ile sahte dui70.dll birlikte bulunuyor. Windows’un uygulama klasöründeki DLL’i önce yükleyebilmesi, saldırgana “DLL side-loading” denilen tekniği kullanma fırsatı veriyor. İmzalı çalıştırılabilir dosyanın varlığı, yanındaki DLL’in de güvenli olduğunu kanıtlamıyor.

PNG dosyaları yalnız görsel taşımıyor

İkinci aşamada PowerShell, PNG görüntülerinin piksel verisine gizlenmiş parçaları indirip yeniden birleştiriyor. Buradan çıkarılması gereken sonuç “bütün PNG’ler tehlikelidir” değil. Risk, görüntüyü açmaktan çok kullanıcı tarafından başlatılan komut zincirinin dosyayı veri kabı olarak işlemesidir.

Bilgisayar ağ geçidine dönüşüyor

Microsoft, kampanyanın kayıt defteri ve zamanlanmış görevlerle kalıcılık kurduğunu; etki alanı yöneticileri, sunucular ve kullanıcı açıklamaları gibi Active Directory bilgilerini taradığını belirtiyor. Son aşamadaki özel Python istemcisi, TLS üzerinden WebSocket ters tüneli açarak saldırgana içerideki sistemlere erişebilen bir ağ vekili sağlıyor. Araştırma, sonraki fidye yazılımı veya veri sızdırma adımlarını gözlemlediğini söylemiyor; bunları olası devam riskleri olarak ayırıyor.

Ev kullanıcısı ne yapmalı?

Sahte doğrulama ekranı gördüğünüz anda sekmeyi kapatın. Panoya kopyalanan metni hiçbir yere yapıştırmayın. Komutu çalıştırmadıysanız yalnız sayfayı görmüş olmak, rapordaki bütün zincirin tamamlandığı anlamına gelmez. Yine de tarayıcı indirmelerini kontrol etmek ve güvenlik taraması yapmak makul bir önlemdir.

Komutu çalıştırdıysanız internet bağlantısını kesmek, cihazı iş hesabından ayırmak ve güvenilir başka bir cihazdan BT sorumlusuna haber vermek gerekir. Kurumsal bilgisayarda kendi başınıza “temizledim” diyerek çalışmaya devam etmeyin; kimlik bilgilerinin ve ağ erişiminin etkilenmiş olabileceği varsayımıyla olay müdahalesi başlatılmalıdır.

Komutu çalıştırdıysanız ilk bir saat

Öncelik delil toplamaya çalışırken zararlıyı daha fazla çalıştırmak değil, cihazı sınırlandırmaktır. Ağ kablosunu çıkarın veya Wi‑Fi bağlantısını kapatın; fakat BT ekibi özellikle istemeden diski biçimlendirmeyin. Ekrandaki adresi, yaklaşık saati ve yaptığınız adımları başka bir cihazdan not edin. İş e-postası, VPN, yönetim paneli veya parola yöneticisi açıksa bunları olay kaydına ekleyin.

Parolaları şüpheli bilgisayardan değiştirmeyin. Güvenilir başka bir cihaz kullanın ve önce ana e-posta hesabı ile kurumsal kimlik sağlayıcısını koruyun. Çok faktörlü doğrulamayı gözden geçirin, açık oturumları kapatın ve BT’nin yönlendirmesiyle erişim belirteçlerini yenileyin. Bu adımlar temizleme işleminin yerine geçmez; saldırganın ele geçirmiş olabileceği kimlik bilgilerini sınırlamak içindir.

Türkiye’de küçük işletmeler için savunma

TerminalFix’in ilk adımı marka taklidinden çok davranışa dayanıyor. Bu yüzden yalnız “Cloudflare logosu gerçek mi?” eğitimi yetmez. Çalışana şu kuralı verin: Bir web sayfası doğrulama için Terminal, PowerShell, Çalıştır penceresi veya pano komutu istiyorsa işlemi durdur ve BT’ye bildir. Türkçe yazılmış düzgün bir yönerge de bu kuralı değiştirmez.

Yönetilen Windows cihazlarında saldırı yüzeyi azaltma kuralları, PowerShell günlükleri, Defender davranış algılamaları ve standart kullanıcı hesabı zinciri zorlaştırabilir. Fakat hiçbir ürün, kullanıcıya “komutu çalıştır” diyen sosyal mühendisliği tek başına bitirmez. e-posta hesabını ana kapı gibi koruma yaklaşımına tarayıcıdan gelen terminal talimatlarını da eklemek gerekir.

Eğitimi doğru cümleyle sınayın

Çalışan eğitiminde gerçek zararlı komutu göstermeye veya kimsenin terminalde bir şey denemesine gerek yok. Boş bir görsel üstünde “Bir site insan doğrulaması için Terminal açmanızı isterse ne yaparsınız?” sorusunu sorun. Beklenen cevap, sayfayı kapatmak ve BT’ye bildirmektir. Kullanıcı logo, renk veya alan adı ezberlememeli; tehlikeli davranışı tanımalıdır. Çünkü saldırgan aynı yöntemi farklı marka ve dillerle tekrar edebilir.

BT ekipleri için hızlı kontrol

  • LockScreenContentServer.exe dosyasının standart Windows yolları dışında çalışıp çalışmadığını arayın.
  • Aynı klasörden yüklenen dui70.dll olaylarını inceleyin.
  • Kullanıcı profilindeki Run anahtarları ve saatlik zamanlanmış görevleri kontrol edin.
  • pythonw.exe tarafından beklenmeyen WebSocket/TLS bağlantılarını araştırın.
  • Olay görülen cihazı yalnız dosya silerek kapatmayın; kimlik bilgisi ve yatay hareket incelemesi yapın.

5 dakikalık sahte CAPTCHA testi

  1. Ekran tarayıcı dışı bir uygulama açmanızı istiyor mu?
  2. Panodan komut yapıştırmanızı söylüyor mu?
  3. PowerShell, Terminal, Komut İstemi veya Çalıştır penceresi geçiyor mu?
  4. “Doğrulama kodu” denen şey uzun bir komut satırı mı?
  5. Bu işaretlerden biri varsa işlemi durdurup ekran görüntüsünü BT’ye bildirin; komutu kopyalamayın.

TerminalFix’in güçlü yanı sıfır gün açığı değil, meşru görünen adımları birbirine bağlaması. Savunmanın en kısa cümlesi de bu yüzden teknik değil: Hiçbir gerçek CAPTCHA sizden bilgisayarınızda komut çalıştırmanızı istemez.

Kaynak