- Legitimní CAPTCHA jsou omezeny na jednoduché vizuální nebo sluchové testy v prohlížeči a nikdy nevyžadují provedení externích příkazů.
- Moderní podvody využívají sociální inženýrství k oklamání uživatele a instalaci malwaru, jako je Lumma Stealer nebo AsyncRAT.
- Včasná detekce závisí na ostražitosti vůči jakýmkoli požadavkům na stažení souborů nebo použití systémové konzole během kontroly.
Pravděpodobně jste to zažili tisíckrát: procházíte internet a najednou se objeví typické okno „Nejsem robot“ nebo jste požádáni o výběr všech fotografií, které zobrazují semafory. Tyto nástroje, známé jako CAPTCHA, jsou základní součástí webové bezpečnosti, které zabraňují botům zaplavovat internet spamem nebo bez rozdílu vytvářet falešné účty.
Problém je v tom, že kyberzločinci, kteří neustále hledají mezery v legislativě, začali používat škodlivé napodobeniny těchto testů. Využívají toho, že jsme na ně zvyklí, a slepě jim důvěřují, že nám do počítačů propašují malware, aniž bychom si toho všimli. V podstatě promění bezpečnostní opatření v trojského koně, který ohrožuje naše soukromí.
Co přesně je CAPTCHA a jak by měla fungovat?
Pro ty, kteří se s tímto tématem nesetkali, CAPTCHA je zkratka pro automatizovaný Turingův test, který má odlišit lidi od strojů . Jeho účelem je blokovat skripty a automatizované programy, které nedokážou vyřešit jednoduché hádanky. Nejběžnější typy jsou vizuální (zkreslená písmena nebo obrázky), sluchové a pokročilý reCAPTCHA od Googlu , který analyzuje chování myši a navigaci na pozadí, aby zjistil, zda se jedná o skutečnou osobu.
Nejdůležitější je si pamatovat, že skutečný ověřovací systém funguje pouze na webu . Požádá vás o kliknutí, vyřešení hádanky nebo zadání kódu, který vidíte na obrazovce, ale nikdy vás nedonutí opustit prohlížeč, abyste mohli interagovat s vnitřním fungováním vašeho operačního systému.
Past falešných CAPTCHA a metoda ClickFix
Podvodníci zdokonalili umění podvodu. Nyní nejen vytvářejí stránky, které se podobají stránkám známých značek, ale také infikují legitimní weby (zejména ty založené na zastaralém WordPressu ), aby na ně vložili své falešné šeky. Jednou z nejnebezpečnějších taktik je ClickFix.
V tomto scénáři uživatel vidí CAPTCHA, která vypadá zcela normálně. Při pokusu o ověření identity však web zobrazí zprávu, že došlo k technické chybě nebo že je vyžadováno další ověření . Háček je v tom, že web automaticky zkopíruje škodlivý kód do schránky a vyzve uživatele ke stisknutí kláves Win + R, Ctrl + V a Enter ve Windows nebo k použití Terminálu na Macu.
Tímto způsobem uživatel ručně spouští příkaz PowerShellu neboli mshta.exe . To je extrémně nebezpečné, protože prohlížeč nemůže zablokovat nic, co se vlastník počítače rozhodne spustit. Je to čisté sociální inženýrství: nutí nás věřit, že opravujeme chybu, zatímco ve skutečnosti otevíráme vstupní dveře útočníkovi.
Neviditelné nebezpečí: EtherHiding a krádež dat
Aby bylo sledování těchto podvodů ještě obtížnější, některé skupiny, jako je ClearFake, používají techniku zvanou EtherHiding . Místo ukládání viru na server infikované webové stránky jej hostují v chytrých smlouvách na blockchainu (například Binance Smart Chain ). Protože je blockchain neměnný a decentralizovaný, tradiční antivirové programy a správci systémů mají s odstraňováním škodlivého kódu velké potíže.
A co vám nainstalují, jakmile se na ně chytnete? Hlavně infostealery jako Lumma Stealer nebo Vidar Stealer. Tento malware nevydává ani zvuk; prohledává váš prohlížeč, aby ukradl soubory cookie relace , uložená hesla a co je nejdůležitější, aby získal přístup k vašim kryptoměnovým peněženkám . Mohou také nainstalovat trojské koně pro vzdálený přístup (RAT), jako je AsyncRAT nebo SecTopRAT, které hackerovi umožňují sledovat vaši obrazovku , zaznamenávat každý stisk kláves a pohybovat se po firemní síti, pokud jste přihlášeni do práce.
Jasné známky odhalení podvodu
Pokud se nechcete nechat podvést, věnujte pozornost těmto signálům. Zaprvé, buďte podezřelí, pokud se CAPTCHA objeví ve vyskakovacím okně nebo na doméně s velmi podivným názvem plným nesmyslných čísel a písmen. Legitimní systémy jsou obvykle organicky integrovány do stránky.
Výrazným signálem je požadavek na externí akce. Pokud vás webová stránka požádá o stažení souboru , instalaci rozšíření prohlížeče nebo spuštění jakékoli kombinace kláves mimo aktuální kartu, okamžitě utečte . Žádná renomovaná společnost, ani Google nebo Cloudflare, vás nebude požádat o otevření příkazového řádku, aby dokázala, že jste člověk.
Co dělat, když jste již příkaz provedli?
Pokud jste si toho všimli příliš pozdě a kód již vložili, nepanikařte, ale jednejte rychle. První věc, kterou musíte udělat, je odpojit se od internetu (vypnout Wi-Fi nebo odpojit kabel). To je nezbytné, protože malware potřebuje komunikovat se serverem útočníka, aby mohl odeslat vaše data; přerušením připojení omezíte možnost úniku.
Dále striktně dodržujte tyto kroky:
- Nerestartujte počítač ihned, protože některé viry se lépe uchytí během spouštění.
- spustit a úplná antivirová kontrola a aktualizované (pokud možno offline skeny).
- Vyčistěte si prohlížeč: vymažte mezipaměť, soubory cookie a odstraňte všechny podezřelé rozšíření které jste si sami nenainstalovali.
- z další zabezpečené zařízeníZměňte hesla ke svým důležitým účtům (e-mail, bankovní účet, sociální sítě).
- Zavřít vše Aktivní relace ve vašich účtech, protože krádež souborů cookie umožňuje útočníkovi přístup, i když si změníte heslo.
Abyste se těmto překvapením vyhnuli, nejlepším nástrojem je pozastavit se. Nespěchejte, když se objeví neočekávané ověření. Vždy udržujte svůj operační systém a antivirový software aktuální a pokud používáte moderní prohlížeč, povolte veškerou ochranu před nebezpečnými webovými stránkami.
Pokud vlastníte web na WordPressu, nezanedbávejte aktualizace. Udržujte své pluginy a šablony aktuální , používejte dvoufaktorové ověřování (2FA) pro administrátorský účet a používejte monitorovací nástroje, jako je Wordfence, k detekci, zda někdo do vašich souborů vložil podezřelý kód. Nezapomeňte, že čím méně nepotřebných pluginů máte nainstalovaných, tím menší je vaše plocha pro útok.