微软预警TerminalFix攻击：网页让你粘贴命令时立即停止
2026-09-03 15:35:06 来源：技王数据恢复
如果网页声称“完成验证码”必须打开终端、PowerShell或运行窗口并粘贴命令，应立即关闭页面。正常验证码不会要求执行系统命令；一旦照做，应把设备按疑似入侵处理，而不只是删除浏览器记录。
技王数据恢复
TerminalFix是什么
微软在2026年8月28日披露了一起名为TerminalFix的多阶段攻击活动。攻击者入侵合法网站或投放恶意页面，显示伪造的验证码步骤，诱导访问者自行运行命令。后续链路会下载压缩包，利用签名程序旁加载恶意组件，并从图片中提取隐藏载荷。 www.sosit.com.cn
这类手法危险之处在于，它把“点击恶意附件”改造成“用户亲手执行”。浏览器安全提示可能因此被绕开，而受害者会误以为自己只是在完成人机验证。 技王数据恢复
一眼识别的四个信号
- 页面要求按组合键打开终端、PowerShell、命令提示符或“运行”。
- 页面要求从剪贴板粘贴一段看不懂的命令。
- 验证流程让你下载ZIP，再运行其中程序。
- 网站内容和验证动作不相干，或者不断催促“立即修复”。
遇到这些信号，不复制、不粘贴、不运行。关闭标签页后，通过收藏夹或手动输入官网地址重新访问。不要按照可疑页面提供的“卸载方法”继续执行第二条命令。 www.sosit.com.cn
如果已经粘贴并执行，先做什么
1. 立即隔离网络
断开网线和Wi-Fi，暂停VPN与云盘同步，避免攻击者继续远程控制或把异常文件同步到更多设备。不要急着关机清理；企业设备应联系安全人员，由其决定是否保留内存和现场证据。 技王数据恢复
2. 从可信设备修改关键凭据
优先处理邮箱、企业单点登录、云存储和密码管理器。使用另一台确认安全的设备修改密码，撤销活动会话，启用多因素验证。仅在疑似中毒电脑上改密码，可能再次泄露。 技王数据恢复
3. 保存时间线和告警信息
记录访问时间、网址、下载文件名和安全软件告警。可以拍照留存，但不要在群聊中传播完整凭据或敏感日志。微软披露的样本会建立周期性任务并形成反向通道，因此“现在看起来没事”不能证明设备干净。 技王数据恢复
4. 评估数据和备份
检查重要文件是否被修改、删除或异常加密，确认备份是在攻击前生成且能独立读取。不要把未经检查的新备份覆盖到唯一的历史副本上。
管理员应补上的防线
安全培训应明确一条简单规则：验证码不会要求员工运行系统命令。终端、脚本解释器和常见系统工具应结合业务做权限与行为监测，而不是只依赖文件查杀。
同时，应保存关键终端日志，限制普通用户从互联网下载后直接执行内容，并对计划任务、可疑旁加载和异常外联设置告警。备份系统要使用独立身份，保留离线或不可变副本，并定期验证恢复。
常见问题
我只粘贴了命令但没有按回车，危险吗？
风险较低，但仍应清空终端输入并关闭可疑页面。某些界面或粘贴内容可能包含自动执行技巧，发现异常应进行安全检查。
删除下载的ZIP就够了吗？
不够。如果程序已经运行，持久化组件或远程通道可能已建立。
杀毒软件显示正常就能继续用吗？
不能单凭一次扫描下结论。需要结合日志、账户会话、计划任务、网络连接和EDR结果判断。
需要立即格式化电脑吗？
个人设备以止损为主；企业或涉案设备应先保全证据。是否重装应由检查结果和组织流程决定。
备份会不会也中毒？
在线可写备份可能被影响。恢复前应确认生成时间、完整性和隔离状态。
参考资料
资料核验日期：2026年9月3日。本文省略攻击命令、域名和可复用技术细节，仅提供识别与防护建议。
技术审核：邓严军｜技王数据恢复实验室技术总监