- Les CAPTCHA légitimes se limitent à de simples tests visuels ou auditifs au sein du navigateur et ne demandent jamais l'exécution de commandes externes.
- Les arnaques modernes utilisent l'ingénierie sociale pour inciter l'utilisateur à installer des logiciels malveillants tels que Lumma Stealer ou AsyncRAT.
- La détection précoce repose sur la vigilance face à toute demande de téléchargement de fichiers ou d'utilisation de la console système pendant une vérification.
Vous avez probablement déjà vécu cela des milliers de fois : vous naviguez sur Internet et soudain, la fameuse fenêtre « Je ne suis pas un robot » apparaît , ou bien on vous demande de sélectionner toutes les photos représentant des feux de circulation. Ces outils, appelés CAPTCHA, sont des éléments essentiels de la sécurité web ; ils empêchent les robots d’inonder Internet de spam ou de créer des faux comptes à tout-va.
Le problème, c'est que les cybercriminels, toujours à l'affût de failles, utilisent désormais des imitations malveillantes de ces tests. Ils profitent de notre habitude et de notre confiance aveugle en ces tests pour installer des logiciels malveillants sur nos ordinateurs à notre insu. En somme, ils transforment une mesure de sécurité en cheval de Troie pour compromettre notre vie privée.
Qu'est-ce qu'un CAPTCHA exactement et comment fonctionne-t-il ?
Pour ceux qui ne connaissent pas le sujet, CAPTCHA est l'acronyme de « test de Turing automatisé », conçu pour distinguer les humains des machines . Son but est de bloquer les scripts et les programmes automatisés incapables de résoudre des énigmes simples. Les types les plus courants sont visuels (lettres ou images déformées), auditifs et le reCAPTCHA de Google, plus avancé , qui analyse le comportement de la souris et la navigation en arrière-plan pour déterminer si vous êtes une personne réelle.
L'essentiel à retenir est qu'un système de vérification authentique fonctionne exclusivement sur Internet . Il vous sera demandé de cliquer, de résoudre une énigme ou de saisir un code affiché à l'écran, mais jamais de quitter votre navigateur pour accéder aux fonctionnalités internes de votre système d'exploitation.
Le piège des faux CAPTCHA et la méthode ClickFix
Les escrocs ont perfectionné l'art de la tromperie. Désormais, ils ne se contentent plus de créer des pages imitant celles de marques connues, mais ils infectent également des sites légitimes (notamment ceux basés sur des versions obsolètes de WordPress ) pour y injecter leurs faux chèques. L'une des tactiques les plus dangereuses est appelée ClickFix.
Dans ce scénario, l'utilisateur voit un CAPTCHA d'apparence tout à fait normale. Cependant, lorsqu'il tente de vérifier son identité, le site affiche un message indiquant une erreur technique ou la nécessité d'une vérification supplémentaire . Le piège est le suivant : le site copie automatiquement un code malveillant dans le presse-papiers et invite l'utilisateur à appuyer sur Win + R, Ctrl + V, puis Entrée sous Windows, ou à utiliser le Terminal sur Mac.
En procédant ainsi, l'utilisateur exécute manuellement une commande PowerShell ou le fichier mshta.exe . C'est extrêmement dangereux, car le navigateur ne peut pas bloquer une action exécutée par le propriétaire de l'ordinateur. Il s'agit d'une pure manipulation psychologique : on nous fait croire que nous corrigeons un bug alors qu'en réalité, nous ouvrons la porte à un pirate.
Le danger invisible : EtherHiding et vol de données
Pour rendre ces arnaques encore plus difficiles à détecter, certains groupes comme ClearFake utilisent une technique appelée EtherHiding . Au lieu de stocker le virus sur le serveur du site web infecté, ils l'hébergent dans des contrats intelligents sur la blockchain (comme la Binance Smart Chain ). Du fait de l'immuabilité et de la décentralisation de la blockchain, les programmes antivirus traditionnels et les administrateurs système éprouvent de grandes difficultés à supprimer le code malveillant.
Et qu'installent-ils une fois que vous avez mordu à l'hameçon ? Principalement des voleurs d'informations comme Lumma Stealer ou Vidar Stealer. Ces logiciels malveillants sont silencieux ; ils fouillent votre navigateur pour voler les cookies de session , les mots de passe enregistrés et, surtout, accéder à vos portefeuilles de cryptomonnaies . Ils peuvent également installer des chevaux de Troie d'accès à distance (RAT) comme AsyncRAT ou SecTopRAT, qui permettent au pirate de visualiser votre écran , d'enregistrer chaque frappe au clavier et de se déplacer sur le réseau de votre entreprise si vous êtes connecté à votre poste de travail.
Signes clairs permettant de détecter la fraude
Pour éviter les arnaques, soyez attentif à ces signes. Méfiez-vous si le CAPTCHA apparaît dans une fenêtre contextuelle ou sur un domaine au nom étrange, composé de chiffres et de lettres sans signification particulière. Les systèmes légitimes sont généralement intégrés naturellement à la page.
Le signe révélateur est une demande d'actions externes. Si un site web vous demande de télécharger un fichier , d'installer une extension de navigateur ou d'exécuter une combinaison de touches en dehors de l'onglet actuel, fuyez immédiatement . Aucune entreprise sérieuse, pas même Google ou Cloudflare, ne vous demandera d'ouvrir l'invite de commandes pour prouver que vous êtes humain.
Que faire si vous avez déjà exécuté la commande ?
Si vous vous en rendez compte trop tard et avez déjà collé le code malveillant, ne paniquez pas, mais agissez vite. La première chose à faire est de vous déconnecter d'Internet (désactivez le Wi-Fi ou débranchez le câble). C'est essentiel, car le logiciel malveillant a besoin de communiquer avec le serveur de l'attaquant pour envoyer vos données ; en coupant la connexion, vous limitez l'exfiltration de données.
Ensuite, suivez scrupuleusement ces étapes :
- Ne redémarrez pas immédiatement votre ordinateur, car certains virus s'installent mieux au démarrage.
- exécuter un analyse antivirus complète et mis à jour (analyses hors ligne si possible).
- Nettoyez votre navigateur : videz le cache, les cookies et supprimez tous les fichiers inutiles. extension suspecte que vous n'avez pas installée vous-même.
- À partir de un autre dispositif sécuriséChangez les mots de passe de vos comptes importants (courriel, banque, réseaux sociaux).
- Ferme tout sessions actives dans vos comptes, car le vol de cookies permet à l'attaquant d'accéder à vos données même si vous changez votre mot de passe.
Pour éviter ces surprises, le meilleur moyen est de prendre son temps. Ne vous précipitez pas lorsqu'une vérification inattendue apparaît. Veillez à toujours maintenir votre système d'exploitation et votre logiciel antivirus à jour, et si vous utilisez un navigateur moderne, activez toutes les protections contre les sites web dangereux.
Si vous possédez un site WordPress, ne négligez pas les mises à jour. Maintenez vos extensions et thèmes à jour , activez l'authentification à deux facteurs (2FA) pour le compte administrateur et utilisez des outils de surveillance comme Wordfence pour détecter toute injection de code suspect dans vos fichiers. N'oubliez pas que moins vous installez d'extensions inutiles, plus votre surface d'attaque est réduite.