- Legitime CAPTCHAs beschränken sich auf einfache visuelle oder auditive Tests innerhalb des Browsers und fordern niemals die Ausführung externer Befehle an.
- Moderne Betrugsmaschen nutzen Social Engineering, um den Benutzer zur Installation von Schadsoftware wie Lumma Stealer oder AsyncRAT zu verleiten.
- Eine frühzeitige Erkennung setzt voraus, dass man bei einer Überprüfung misstrauisch gegenüber allen Anfragen zum Herunterladen von Dateien oder zur Nutzung der Systemkonsole ist.
Das kennen Sie wahrscheinlich schon: Sie surfen im Internet und plötzlich erscheint die typische Meldung „Ich bin kein Roboter“ oder Sie werden aufgefordert, alle Fotos mit Ampeln auszuwählen. Diese Tools, sogenannte CAPTCHAs, sind grundlegende Bestandteile der Internetsicherheit und verhindern, dass Bots das Internet mit Spam überfluten oder wahllos gefälschte Konten erstellen.
Das Problem besteht darin, dass Cyberkriminelle, die ständig nach Sicherheitslücken suchen, begonnen haben, diese Tests zu manipulieren . Sie nutzen aus, dass wir an die Tests gewöhnt sind und ihnen blind vertrauen, um unbemerkt Schadsoftware auf unsere Computer einzuschleusen. Im Grunde verwandeln sie eine Sicherheitsmaßnahme in einen Trojaner, um unsere Privatsphäre zu gefährden.
Was genau ist ein CAPTCHA und wie sollte es funktionieren?
Für alle, die mit dem Thema nicht vertraut sind: CAPTCHA ist die Abkürzung für einen automatisierten Turing-Test, der Menschen von Maschinen unterscheiden soll . Er dient dazu, Skripte und automatisierte Programme zu blockieren, die einfache Rätsel nicht lösen können. Die gängigsten Varianten sind visuelle (verzerrte Buchstaben oder Bilder), auditive und Googles fortschrittliches reCAPTCHA , das Mausverhalten und die Navigation im Hintergrund analysiert, um festzustellen, ob Sie ein Mensch sind.
Das Wichtigste ist, dass ein seriöses Verifizierungssystem ausschließlich im Web stattfindet . Sie werden zwar aufgefordert, zu klicken, ein Rätsel zu lösen oder einen angezeigten Code einzugeben, aber Sie werden niemals gezwungen, den Browser zu verlassen und mit den internen Abläufen Ihres Betriebssystems zu interagieren.
Die Falle der gefälschten CAPTCHAs und die ClickFix-Methode
Betrüger haben die Kunst der Täuschung perfektioniert. Sie erstellen nicht nur Seiten, die denen bekannter Marken täuschend ähnlich sehen, sondern infizieren auch legitime Websites (insbesondere solche, die auf veralteten WordPress-Versionen basieren ), um ihre gefälschten Häkchen einzuschleusen. Eine der gefährlichsten Taktiken ist ClickFix.
In diesem Szenario sieht der Nutzer ein CAPTCHA, das völlig normal erscheint. Beim Versuch, seine Identität zu bestätigen, erscheint jedoch eine Fehlermeldung, die auf einen technischen Fehler hinweist oder zusätzliche Verifizierung erfordert . Der Haken an der Sache: Die Website kopiert automatisch Schadcode in die Zwischenablage und fordert den Nutzer auf, unter Windows Win + R, Strg + V und Enter zu drücken oder unter einem Mac das Terminal zu verwenden.
Dadurch führt der Benutzer manuell einen PowerShell-Befehl oder mshta.exe aus . Das ist extrem gefährlich, da der Browser Aktionen, die der Computerbesitzer ausführt, nicht blockieren kann. Es handelt sich um reines Social Engineering: Man gaukelt uns vor, einen Fehler zu beheben, während wir in Wirklichkeit Angreifern Tür und Tor öffnen.
Die unsichtbare Gefahr: EtherHiding und Datendiebstahl
Um diese Betrugsmaschen noch schwerer aufspürbar zu machen, nutzen einige Gruppen wie ClearFake eine Technik namens EtherHiding . Anstatt den Virus auf dem Server der infizierten Website zu speichern, hosten sie ihn in Smart Contracts auf der Blockchain (wie beispielsweise der Binance Smart Chain ). Da die Blockchain unveränderlich und dezentralisiert ist, haben herkömmliche Antivirenprogramme und Systemadministratoren große Schwierigkeiten, den Schadcode zu entfernen.
Und was installieren sie, sobald man angebissen hat? Hauptsächlich Infostealer wie Lumma Stealer oder Vidar Stealer. Diese Schadsoftware arbeitet geräuschlos; sie durchsucht Ihren Browser, um Session-Cookies , gespeicherte Passwörter und vor allem Zugriff auf Ihre Kryptowährungs-Wallets zu stehlen . Sie kann auch Remote-Access-Trojaner (RATs) wie AsyncRAT oder SecTopRAT installieren, die es dem Hacker ermöglichen, Ihren Bildschirm einzusehen , jeden Tastendruck zu protokollieren und sich im Netzwerk Ihres Unternehmens zu bewegen, wenn Sie online sind.
Klare Anzeichen zur Aufdeckung von Betrug
Um Betrug zu vermeiden, achten Sie auf folgende Warnsignale. Seien Sie misstrauisch, wenn das CAPTCHA in einem Pop-up-Fenster oder auf einer Domain mit einem ungewöhnlichen Namen voller bedeutungsloser Zahlen und Buchstaben erscheint. Seriöse Systeme sind in der Regel nahtlos in die Webseite integriert.
Das verräterische Anzeichen ist die Aufforderung zu externen Aktionen. Wenn eine Website Sie auffordert , eine Datei herunterzuladen , eine Browsererweiterung zu installieren oder eine Tastenkombination außerhalb des aktuellen Tabs auszuführen, sollten Sie sofort die Seite verlassen . Kein seriöses Unternehmen, nicht einmal Google oder Cloudflare, wird Sie jemals auffordern, die Eingabeaufforderung zu öffnen, um Ihre Menschlichkeit zu beweisen.
Was tun, wenn der Befehl bereits ausgeführt wurde?
Falls Sie es zu spät bemerkt und den Code bereits eingefügt haben, geraten Sie nicht in Panik, sondern handeln Sie schnell. Trennen Sie als Erstes die Internetverbindung (schalten Sie WLAN aus oder ziehen Sie das Kabel ab). Dies ist unerlässlich, da die Schadsoftware mit dem Server des Angreifers kommunizieren muss, um Ihre Daten zu senden. Durch das Unterbrechen der Verbindung verhindern Sie den Datenabfluss.
Befolgen Sie anschließend genau diese Schritte:
- Starten Sie Ihren Computer nicht sofort neu, da sich manche Viren während des Startvorgangs besser einnisten.
- laufen a vollständiger Antivirenscan und aktualisiert (wenn möglich Offline-Scans).
- Bereinigen Sie Ihren Browser: Löschen Sie Cache, Cookies und entfernen Sie alle verdächtige Erweiterung die Sie nicht selbst installiert haben.
- Bei ein weiteres sicheres GerätÄndern Sie die Passwörter für Ihre wichtigsten Konten (E-Mail, Bank, soziale Medien).
- Alle schließen Aktive Sitzungen in Ihren Konten, da der Diebstahl von Cookies es dem Angreifer ermöglicht, selbst dann einzudringen, wenn Sie Ihr Passwort ändern.
Um solche Überraschungen zu vermeiden, ist es am besten, innezuhalten. Reagieren Sie nicht überhastet, wenn eine unerwartete Überprüfung erscheint. Halten Sie Ihr Betriebssystem und Ihre Antivirensoftware stets auf dem neuesten Stand und aktivieren Sie bei Verwendung eines modernen Browsers alle Schutzfunktionen gegen gefährliche Websites.
Wenn Sie eine WordPress-Website betreiben, sollten Sie Updates nicht vernachlässigen. Halten Sie Ihre Plugins und Themes aktuell , aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für das Administratorkonto und nutzen Sie Überwachungstools wie Wordfence, um zu erkennen, ob jemand verdächtigen Code in Ihre Dateien eingeschleust hat. Denken Sie daran: Je weniger unnötige Plugins Sie installiert haben, desto kleiner ist Ihre Angriffsfläche.