- Škodlivé CAPTCHA kódy využívají sociální inženýrství k oklamání uživatelů a ke spuštění nebezpečných příkazů na jejich vlastních systémech.
- Tento útočný vektor distribuuje malware specializovaný na krádež přihlašovacích údajů, souborů cookie relace a kryptografických aktiv.
- Technika EtherHiding skrývá škodlivý kód v blockchainu, aby se vyhnul tradičním bezpečnostním kontrolám.
Jsem si jistý, že se vám to už tisíckrát stalo: jdete na webovou stránku a najednou se objeví typické okno s žádostí o prokázání, že nejste robot. Zvykli jsme si na luštění těchto malých vizuálních hádanek nebo zaškrtávání políček tak, že to děláme automaticky , bez přemýšlení. Právě v této slepé důvěře kyberzločinci objevili zlatý důl pro pašování malwaru do našich zařízení.
Mluvíme o velmi nebezpečném trendu známém jako falešná CAPTCHA neboli podvody s ClickFixem. Na rozdíl od tradičního phishingu, kde se vás snaží oklamat odkazem, je zde taktika zákeřnější: využívají zdání legitimních nástrojů, jako je reCAPTCHA od Googlu nebo Cloudflare Turnstile, aby vás oklamali a přiměli k instalaci viru do počítače sami, a tím obešli všechna bezpečnostní varování vašeho prohlížeče.
Co přesně je trik s ClickFixem?
Mechanika je neuvěřitelně jednoduchá, ale zároveň smrtící. Uživatel se dostane na stránku, často napadený web WordPressu, a narazí na technickou chybu nebo lidské ověření. Interakcí s ověřovacím tlačítkem webová stránka pomocí JavaScriptu zkopíruje škodlivý kód do schránky uživatele bez jeho vědomí. Webová stránka poté poskytne velmi jasné pokyny: „Stiskněte Win + R, vložte kód (Ctrl + V) a stiskněte Enter.“
Postupem podle těchto kroků uživatel otevře dialogové okno Spustit ve Windows a spustí příkaz, obvykle PowerShell nebo mshta.exe , který stáhne malware z externího serveru. Protože akci provádí uživatel, operační systém ji interpretuje jako legitimní úlohu a stahování neblokuje , čímž útočníkům ponechává dveře dokořán.
Arsenál malwaru: Co útočníci hledají?
Jakmile je příkaz proveden, počítač se v závislosti na kampani infikuje různými rodinami malwaru. Nejběžnější je Lumma Stealer , program specializující se na krádež dat, který vyprazdňuje prohlížeče a hledá uložená hesla, soubory cookie relace a především kryptoměnové peněženky.
Ale to není všechno. Byl zjištěn i další hmyz, například:
- Vidar Stealer a Amadey: Zaměřeno na sledování historie prohlížení a automatické vyplňování dat.
- AsyncRAT, SecTopRAT a XWorm: Trojské koně pro vzdálený přístup, které hackerům umožňují Zobrazení obrazovky v reálném čase, zaznamenávejte každé stisknutí klávesy a libovolně přesouvejte soubory.
- Venom RAT a Remcos RAT: Nástroje, které sice mají legitimní administrativní využití, ale zde se používají k totální špionáži.
Sofistikovanost EtherHidingu a kampaně ClearFake
Od poloviny roku 2023 infikovala operace s názvem ClearFake tisíce webových stránek, zejména těch založených na zastaralém WordPressu. Nejvíce alarmující je jejich použití techniky zvané EtherHiding . Místo ukládání viru na server, který lze odpojit od sítě, hostují datové zatížení v rámci chytrých smluv na Binance Smart Chain.
To představuje pro bezpečnostní experty problém, protože blockchain je neměnný a decentralizovaný. Napadená webová stránka obsahuje pouze malý odkaz odkazující na blockchain, takže útok je pro tradiční skenery souborů prakticky neviditelný , jelikož škodlivý kód se fyzicky nenachází na infikovaném serveru.
Jak rozlišit skutečnou CAPTCHA od pasti
Abyste se vyhnuli podvodu, pamatujte si toto zlaté pravidlo: žádná legitimní CAPTCHA vás nikdy nebude požádat o otevření terminálu, použití příkazu Spustit (Win + R) ani stažení souboru pro „dokončení ověření“. Skutečné systémy vyžadují pouze kliknutí na obrázky semaforů nebo zaškrtnutí políčka.
Další varovné signály, které by vás měly donutit okamžitě zavřít kartu, jsou:
- CAPTCHA se zobrazí v vyskakovací okno oddělené nebo v podivné doméně s náhodnými názvy.
- Všimnete si, že po kliknutí se do schránky zkopíruje něco, co jste nevybrali.
- Ve zprávě se zmiňuje „problémy s konfigurací sítě“ a navrhuje ruční řešení spuštěním skriptu.
Nouzový protokol: Co dělat, když jste již kód spustili?
Pokud si uvědomíte, že jste padli do pasti, rychlost je klíčová pro omezení škod. První věc, kterou musíte udělat, je přerušit připojení k internetu (vypnout Wi-Fi nebo odpojit kabel), abyste zabránili malwaru v odesílání vašich dat na server útočníka. V tomto okamžiku je nezbytné nerestartovat počítač, protože některé viry se během spouštění systému hlouběji usazují.
Dále striktně dodržujte tyto kroky: spusťte úplnou kontrolu pomocí aktuálního antivirového programu (například Malwarebytes nebo Windows Defender Offline), vymažte mezipaměť prohlížeče a soubory cookie, abyste zneplatnili ukradené relace, a odstraňte všechna podezřelá rozšíření. Nakonec na zařízení, o kterém víte, že je v pořádku, změňte všechna hesla a povolte dvoufaktorové ověřování (2FA) na všech účtech, počínaje e-mailem.
Ochrana pro administrátory webových stránek a uživatele
Pokud spravujete web na WordPressu, nejlepší obranou je udržovat jádro, pluginy a šablony aktuální , protože ClearFake zneužívá staré zranitelnosti. Doporučuje se nainstalovat bezpečnostní pluginy, které monitorují změny souborů a používají dvoufaktorové ověřování (2FA) pro přístup k administrátorskému panelu.
Pro průměrného uživatele je nejlepším nástrojem selský rozum a používání blokovačů reklam , které zabraňují načítání škodlivých skriptů prostřednictvím klamavé reklamy. Udržování operačního systému aktualizovaného a vyhýbání se stahování pirátského softwaru drasticky snižuje pravděpodobnost vystavení těmto útočným vektorům.
Klíčem k přežití těchto hrozeb je přestat jednat na autopilota a být opatrný vůči jakémukoli ověřovacímu procesu, který vás žádá o interakci s operačním systémem mimo váš prohlížeč. Zatímco legitimní CAPTCHA je dvousekundová nepříjemnost, provedení neznámého příkazu může vést k úplné ztrátě vaší digitální identity a finančních prostředků. Prevence a digitální hygiena jsou proto jedinou skutečnou obranou proti sociálnímu inženýrství.