- I CAPTCHA legittimi si limitano a semplici test visivi o uditivi all'interno del browser e non richiedono mai l'esecuzione di comandi esterni.
- Le truffe moderne utilizzano tecniche di ingegneria sociale per indurre l'utente a installare malware come Lumma Stealer o AsyncRAT.
- L'individuazione precoce si basa sulla diffidenza verso qualsiasi richiesta di download di file o di utilizzo della console di sistema durante un controllo.
Probabilmente vi sarà capitato migliaia di volte: state navigando su internet e all'improvviso compare la tipica finestra di dialogo "Non sono un robot" , oppure vi viene chiesto di selezionare tutte le foto che ritraggono semafori. Questi strumenti, noti come CAPTCHA, sono componenti fondamentali della sicurezza web e servono a impedire ai bot di inondare internet di spam o di creare account falsi indiscriminatamente.
Il problema è che i criminali informatici, sempre alla ricerca di falle, hanno iniziato a utilizzare imitazioni dannose di questi test. Sfruttano il fatto che siamo abituati a vederli e ci fidiamo ciecamente di essi per infiltrare malware nei nostri computer senza che ce ne accorgiamo. In sostanza, trasformano una misura di sicurezza in un cavallo di Troia per compromettere la nostra privacy.
Cos'è esattamente un CAPTCHA e come dovrebbe funzionare?
Per chi non avesse familiarità con l'argomento, CAPTCHA è l'acronimo di un test di Turing automatizzato, progettato per distinguere gli esseri umani dalle macchine . Il suo scopo è bloccare script e programmi automatizzati che non riescono a risolvere semplici enigmi. I tipi più comuni sono quelli visivi (lettere o immagini distorte), uditivi e il più avanzato reCAPTCHA di Google , che analizza il comportamento del mouse e la navigazione in background per determinare se si tratta di una persona reale.
La cosa più importante da ricordare è che un sistema di verifica autentico si svolge esclusivamente all'interno del web . Ti chiederà di cliccare, risolvere un enigma o digitare un codice visualizzato sullo schermo, ma non ti obbligherà mai a uscire dal browser per interagire con i meccanismi interni del tuo sistema operativo.
La trappola dei CAPTCHA falsi e il metodo ClickFix
I truffatori hanno perfezionato l'arte dell'inganno. Ora non solo creano pagine che imitano quelle di marchi famosi, ma infettano anche siti legittimi (soprattutto quelli basati su WordPress obsoleto ) per iniettare i loro assegni falsi. Una delle tattiche più pericolose si chiama ClickFix.
In questo scenario, l'utente visualizza un CAPTCHA apparentemente normale. Tuttavia, quando tenta di verificare la propria identità, il sito mostra un messaggio che indica un errore tecnico o la necessità di ulteriori verifiche . Ecco il trucco: il sito copia automaticamente del codice dannoso negli appunti e chiede all'utente di premere Win + R, Ctrl + V e Invio su Windows, oppure di utilizzare il Terminale su Mac.
Così facendo, l'utente esegue manualmente un comando PowerShell o mshta.exe . Questo è estremamente pericoloso perché il browser non può bloccare un'azione che il proprietario del computer decide di eseguire. Si tratta di pura ingegneria sociale: ci fanno credere di star risolvendo un bug, quando in realtà stiamo aprendo le porte del nostro sistema a un malintenzionato.
Il pericolo invisibile: EtherHiding e il furto di dati
Per rendere queste truffe ancora più difficili da rintracciare, alcuni gruppi come ClearFake utilizzano una tecnica chiamata EtherHiding . Invece di memorizzare il virus sul server del sito web infetto, lo ospitano in smart contract sulla blockchain (come Binance Smart Chain ). Poiché la blockchain è immutabile e decentralizzata, i programmi antivirus tradizionali e gli amministratori di sistema hanno molta difficoltà a rimuovere il codice dannoso.
E cosa installano una volta che abboccate all'amo? Principalmente software per il furto di informazioni come Lumma Stealer o Vidar Stealer. Questi malware non emettono alcun suono; frugano nel vostro browser per rubare i cookie di sessione , le password salvate e, soprattutto, accedere ai vostri portafogli di criptovalute . Possono anche installare trojan di accesso remoto (RAT) come AsyncRAT o SecTopRAT, che consentono all'hacker di visualizzare il vostro schermo , registrare ogni tasto premuto e muoversi all'interno della rete aziendale se siete connessi per lavoro.
Segnali chiari per individuare le frodi
Se non vuoi essere truffato, fai attenzione a questi segnali. Innanzitutto, diffida se il CAPTCHA appare in una finestra pop-up o su un dominio con un nome molto strano, pieno di numeri e lettere senza senso. I sistemi legittimi sono solitamente integrati in modo naturale nella pagina.
Il segnale rivelatore è la richiesta di azioni esterne. Se un sito web ti chiede di scaricare un file , installare un'estensione per il browser o eseguire una qualsiasi combinazione di tasti al di fuori della scheda corrente, scappa immediatamente . Nessuna azienda seria, nemmeno Google o Cloudflare, ti chiederà di aprire il prompt dei comandi per dimostrare di essere umano.
Cosa fare se il comando è già stato eseguito?
Se te ne sei accorto troppo tardi e hai già incollato il codice, non farti prendere dal panico, ma agisci rapidamente. La prima cosa da fare è disconnettersi da internet (disattivare il Wi-Fi o scollegare il cavo). Questo è fondamentale perché il malware ha bisogno di comunicare con il server dell'attaccante per inviare i tuoi dati; interrompendo la connessione, limiti l'esfiltrazione.
Successivamente, segui attentamente questi passaggi:
- Non riavviare immediatamente il computer, poiché alcuni virus si insinuano più facilmente all'avvio.
- correre un scansione antivirus completa e aggiornati (scansioni offline, se possibile).
- Pulisci il tuo browser: cancella la cache, i cookie e rimuovi qualsiasi estensione sospetta che non hai installato tu stesso.
- Noi di un altro dispositivo sicuroCambia le password dei tuoi account più importanti (email, conto bancario, social media).
- Chiudi tutto Sessioni Attive nei tuoi account, poiché il furto di cookie consente all'aggressore di accedere anche se cambi la password.
Per evitare queste sorprese, lo strumento migliore è prendersi una pausa. Non abbiate fretta quando compare una verifica inaspettata. Mantenete sempre aggiornati il sistema operativo e il software antivirus e, se utilizzate un browser moderno, attivate tutte le protezioni contro i siti web pericolosi.
Se possiedi un sito web WordPress, non trascurare gli aggiornamenti. Mantieni aggiornati plugin e temi , utilizza l'autenticazione a due fattori (2FA) per l'account amministratore e usa strumenti di monitoraggio come Wordfence per rilevare se qualcuno ha iniettato codice sospetto nei tuoi file. Ricorda che meno plugin non necessari hai installato, minore sarà la tua superficie di attacco.