TerminalFix est la campagne qui transforme un simple copier-coller en tunnel d’accès permanent vers votre réseau. Microsoft et plusieurs éditeurs alertent sur cette technique qui contourne les protections périmétriques classiques : la victime exécute elle-même la commande malveillante, et l’attaquant n’a plus qu’à écouter. Pour une PME ou une ETI, le danger est double : aucune pièce jointe à filtrer, aucune faille logicielle à corriger, et un trafic sortant qui ressemble à du trafic légitime. Ce tutoriel détaille comment détecter et bloquer TerminalFix avec les outils que vous avez déjà.
Comment fonctionne l’attaque TerminalFix
Le scénario est volontairement banal. L’utilisateur arrive sur une page web qui affiche un faux CAPTCHA, un faux message « votre navigateur doit être réparé » ou une fausse erreur de mise à jour. La page lui demande de prouver qu’il n’est pas un robot en suivant trois étapes : appuyer sur Windows + R, coller le contenu du presse-papiers, puis valider avec Entrée.
Ce que la victime ignore, c’est que la page a silencieusement rempli son presse-papiers avec une commande PowerShell encodée. En validant, elle lance elle-même le téléchargement de la charge utile. Cette famille de techniques, souvent regroupée sous le nom ClickFix, atteint avec TerminalFix un niveau de discrétion supérieur : la charge finale n’est pas un ransomware bruyant, mais un tunnel inverse établi vers l’infrastructure de l’attaquant.
Pourquoi le tunnel inverse change la donne
Un tunnel inverse est initié depuis l’intérieur du réseau. Votre pare-feu voit une connexion sortante, souvent en HTTPS sur le port 443, vers un domaine qui n’a rien d’alarmant. Aucune règle entrante n’est violée. L’attaquant obtient un accès interactif persistant, exploitable des semaines plus tard pour du vol de données ou un déploiement de ransomware. C’est exactement la logique déjà observée dans les campagnes de C2 furtif via des services légitimes, mais sans même avoir besoin d’un compte cloud compromis.
Détecter TerminalFix sur vos postes
La bonne nouvelle : la chaîne d’exécution laisse des traces très caractéristiques. Trois signaux valent une alerte immédiate.
- PowerShell lancé depuis explorer.exe — la boîte de dialogue Exécuter est un enfant d’
explorer.exe. Un processuspowershell.exeoucmd.exedont le parent estexplorer.exeet dont la ligne de commande contient-enc,-EncodedCommand,-w hidden,IEXouDownloadStringest anormal sur un poste bureautique. - Écriture dans la clé RunMRU — Windows journalise chaque commande tapée dans Exécuter sous
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Une entrée contenant du base64 ou une URL est une preuve directe de TerminalFix. - Binaire de tunnelisation inattendu — surveillez l’apparition de clients de tunnel légitimes détournés dans les répertoires utilisateur, ainsi que toute connexion sortante longue durée depuis un poste qui n’en établit jamais.
Une règle de détection à activer aujourd’hui
Si vous exploitez un SIEM, corrélez ces trois éléments plutôt que de les traiter isolément : parent explorer.exe, interpréteur de commandes, argument encodé. Le taux de faux positifs est très faible sur un parc bureautique, ce qui en fait une règle idéale pour un SOC déjà saturé par le bruit des alertes. Activez également la journalisation des blocs de script PowerShell (Script Block Logging) via GPO : sans elle, la commande encodée reste invisible dans vos journaux.
Bloquer TerminalFix avant l’exécution
La détection est utile, la prévention l’est davantage. Quatre mesures se déploient en quelques heures et coupent la chaîne d’attaque à la racine.
- Désactiver la boîte de dialogue Exécuter pour les profils bureautiques via la stratégie de groupe Supprimer le menu Exécuter du menu Démarrer. C’est la mesure la plus efficace contre TerminalFix, et son impact métier est quasi nul sur un poste standard.
- Restreindre PowerShell aux administrateurs avec AppLocker ou WDAC, et passer les postes utilisateurs en mode langage contraint (Constrained Language Mode).
- Filtrer le trafic sortant. Un poste bureautique n’a aucune raison d’ouvrir une session persistante vers un domaine inconnu. Un proxy avec inspection et liste d’autorisation réduit drastiquement la surface du tunnel inverse.
- Former sur ce geste précis. Le message à faire passer tient en une phrase : aucun site web légitime ne vous demandera jamais d’appuyer sur Windows + R et de coller quoi que ce soit.
Vérifier que vos protections tiennent
Testez la règle depuis un poste de recette : ouvrez Exécuter, tapez une commande PowerShell anodine encodée en base64, et vérifiez qu’une alerte remonte bien dans votre console. Une détection non testée est une détection qui n’existe pas. Contrôlez ensuite que la GPO de suppression du menu Exécuter est appliquée sur l’ensemble des unités d’organisation concernées, et pas seulement sur le groupe pilote.
Ce que TerminalFix révèle de votre posture
Cette campagne ne repose sur aucune vulnérabilité : elle exploite la confiance de l’utilisateur et la permissivité de la configuration Windows par défaut. Se protéger de TerminalFix revient donc à durcir le poste de travail — restreindre les interpréteurs, journaliser leur usage, contrôler les flux sortants. Ces trois chantiers vous protègent aussi de la majorité des chaînes d’infection actuelles, bien au-delà de cette seule campagne. C’est le meilleur retour sur investissement disponible pour une PME ou une ETI aujourd’hui.