- Els CAPTCHA legítims es limiten a proves visuals o auditives senzilles dins del navegador i no sol·liciten mai executar ordres externes.
- Les estafes modernes utilitzen enginyeria social per enganyar l'usuari i aconseguir que instal·li codi maliciós com Lumma Stealer o AsyncRAT.
- La detecció primerenca es basa en desconfiar de qualsevol sol·licitud de descàrrega de fitxers o ús de la consola del sistema durant una verificació.
Segurament t'ha passat mil vegades: estàs navegant per internet i, de sobte, apareix el requadre típic de «No sóc un robot» o et demanen que seleccionis totes les fotos on surtin semàfors. Aquestes eines, conegudes com a CAPTCHA, són peces fonamentals de la seguretat web per evitar que els bots omplin tot de correu brossa o creïn comptes falsos al boig.
El problema és que els ciberdelinqüents, que sempre estan buscant la tornada a tot, han començat a fer servir imitacions malicioses d'aquestes proves. S'aprofiten que ja estem acostumats a veure-les i hi confiem cegament per colar-nos malware a l'equip sense que ens n'adonem. Bàsicament, converteixen una mesura de seguretat en un cavall de Troia per vulnerar la nostra privadesa.
Què és exactament un CAPTCHA i com hauria de funcionar?
Pels que no estiguin molt posats en el tema, CAPTCHA és l'acrònim d'una prova de Turing automatitzada dissenyada per distingir humans de màquines . El seu objectiu és bloquejar scripts i programes automatitzats que no poden resoldre endevinalles senzilles. Els més comuns són els visuals (lletres distorsionades o imatges), els auditius i l'avançat reCAPTCHA de Google que analitza el comportament del ratolí i la navegació en segon pla per saber si ets una persona real.
El més important que has de gravar a foc és que un sistema de verificació autèntic només passa dins de la web . Et demanarà un clic, que resolguis un puzle o que escriguis un codi que veus a la pantalla, però mai no t'obligarà a sortir del navegador per interactuar amb les entranyes del teu sistema operatiu.
El parany dels CAPTCHA falsos i el mètode ClickFix
Els estafadors han perfeccionat l'art de l'engany. Ara no només creen pàgines que s'assemblen a les de marques conegudes, sinó que infecten llocs legítims (especialment aquells basats en WordPress desactualitzats ) per injectar-ne les comprovacions truites. Una de les tàctiques més perilloses és l'anomenada ClickFix.
En aquest escenari, lusuari veu un CAPTCHA que sembla totalment normal. No obstant això, en intentar verificar la vostra identitat, el lloc us llança un missatge dient que hi ha un error tècnic o que ha de fer una verificació addicional . Aquí ve el truc: el lloc copia automàticament un codi maliciós al porta-retalls i li demana a l'usuari que premi Win + R, Ctrl + V i Enter a Windows, o que utilitzi la Terminal a Mac.
En fer-ho, l'usuari està executant manualment una ordre de PowerShell o mshta.exe . Això és extremadament perillós perquè el navegador no pot bloquejar una cosa que el propi propietari de lequip decideix executar. És enginyeria social pura: ens fan creure que estem arreglant una fallada quan en realitat estem obrint la porta de casa nostra a l'atacant.
El perill invisible: EtherHiding i el robatori de dades
Perquè aquestes estafes siguin encara més difícils de rastrejar, alguns grups com ClearFake utilitzen una tècnica anomenada EtherHiding . En lloc de guardar el virus al servidor de la web infectada, l'allotgen en contractes intel·ligents de la blockchain (com Binance Smart Chain ). Com que la blockchain és immutable i descentralitzada, els antivirus tradicionals i els administradors de sistemes tenen molt difícil esborrar el codi maliciós.
I què és el que instal·len una vegada que mossegues l'ham? Principalment infostealers com a Lumma Stealer o Vidar Stealer. Aquestes bestioles no fan soroll; es dediquen a rebuscar al teu navegador per robar cookies de sessió , contrasenyes guardades i, molt especialment, accedir als teus moneders de criptomonedes . També poden instal·lar troians d'accés remot (RAT) com AsyncRAT o SecTopRAT, que permeten al hacker veure la teva pantalla , registrar cada tecla que prems i moure's per la xarxa de la teva empresa si estàs connectat a la feina.
Senyals clars per detectar un frau
Si no vols que et prenguin els cabells, estigues alerta a aquests senyals. Primer, sospita si el CAPTCHA apareix en una finestra emergent (pop-up) o en un domini amb un nom raríssim i ple de números i lletres sense sentit. Els sistemes reals solen estar integrats orgànicament a la pàgina.
El senyal definitiu és la sol·licitud daccions externes. Si el web us demana descarregar un fitxer , instal·lar una extensió del navegador o executar qualsevol combinació de tecles fora de la pestanya actual, fuig d'aquí immediatament . Cap empresa seriosa, ni Google ni Cloudflare, us demanarà que obris la consola d'ordres per demostrar que ets humà.
Què fer si ja heu executat l'ordre?
Si t'has adonat tard i ja has enganxat el codi, no entris en pànic, però actua ràpidament. El primer és desconnectar-te d'internet (apaga el WiFi o treu el cable). Això és vital perquè el codi maliciós necessita comunicar-se amb el servidor de l'atacant per enviar les teves dades; si talleu la connexió, limiteu l'exfiltració.
A continuació, segueix aquests passos estrictament:
- No reinicieu l'equip immediatament, ja que alguns virus s'assenten millor durant l'arrencada.
- Executa un anàlisi antivirus complet i actualitzat (escaneigs offline si és possible).
- Neteja el navegador: esborra caché, cookies i elimina qualsevol extensió sospitosa que no hagis instal·lat tu.
- Des de un altre dispositiu segur, canvieu les contrasenyes dels vostres comptes crítics (correu, banc, xarxes socials).
- Tanca totes les sessions actives en els teus comptes, ja que el robatori de galetes permet a l'atacant entrar encara que canviïs la clau.
Per evitar aquests ensurts, la millor eina és la pausa. No us precipiteu quan aparegui una verificació inesperada. Mantingues sempre actualitzat el teu sistema operatiu i l'antivirus, i si fas servir un navegador modern, activa totes les proteccions contra llocs perillosos.
Si ets propietari d'una web a WordPress, no t'adormis amb les actualitzacions. Mantingues al dia els plugins i temes , usa autenticació de dos factors (2FA) per a l'administrador i utilitza eines de monitorització com Wordfence per detectar si algú ha injectat codi rar als teus arxius. Recorda que la superfície d'atac es redueix com a mínim complements innecessaris tinguis instal·lats.