Známá výzva se stává útočným vektorem

Většina lidí klikla na CAPTCHA bez jediného podezření. Právě tuto rutinní důvěru nyní zneužívá nová malware kampaň. Bezpečnostní výzkumníci identifikovali falešné CAPTCHA stránky navržené tak, aby vypadaly jako standardní obrazovky ověření „Nejsem robot", jenže místo ověření, že jste člověk, vás podvodně přimějí nainstalovat malware schopný zneškodnit 145 různých bezpečnostních procesů ve vašem zařízení.

Útok funguje prostřednictvím techniky, která se stává stále běžnější: místo žádosti o stažení souboru falešná stránka instruuje oběti, aby zkopírovaly příkaz a vložily jej do dialogového okna Spustit ve Windows nebo do PowerShellu. Protože příkaz fyzicky spouští samotná oběť, mnoho antivirových nástrojů a ochran prohlížeče nemá šanci zasáhnout dříve, než je hotovo. Jakmile je příkaz spuštěn, PowerShell stáhne a nainstaluje malware, který systematicky vypíná bezpečnostní software běžící na počítači, čímž systém účinně oslepí vůči dalšímu kompromitování, zatímco na pozadí krade data.

Proč je tato metoda tak účinná

To, co dělá falešné CAPTCHA kampaně obzvláště nebezpečnými, je to, jak málo technických dovedností vyžadují od oběti. Není zde žádná podezřelá příloha k otevření ani žádný zjevný spustitelný soubor, který by spustil bezpečnostní varování. Celý podvod se opírá o sociální inženýrství: stránka, která vypadá legitimně, ověřovací krok, který působí rutinně, a instrukce, které se zdají neškodné, protože kopírování a vkládání textu působí jako pasivní akce, nikoli aktivní bezpečnostní rozhodnutí.

To odráží širší posun v tom, jak kyberzločinci balí své útoky. Stejně jako hackeři nyní sestavují malware přímo v prohlížeči a zneužívají důvěryhodné značky jako ChatGPT, aby se vyhnuli detekci, falešné CAPTCHA kampaně využívají stejný princip: skrývají škodlivý záměr za rozhraním, kterému uživatelé důvěřují a denně s ním pracují. Tradiční antivirové signatury jsou navrženy tak, aby zachytily škodlivé soubory, nikoli příkazy iniciované uživatelem zadané do legitimního systémového nástroje. Přesně tuto mezeru se tyto kampaně snaží využít.

Jakmile je 145 cílených bezpečnostních procesů zneškodněno, kompromitovaný stroj prakticky ztratí schopnost detekovat nebo hlásit další škodlivou aktivitu. To otevírá dveře krádeži přihlašovacích údajů, sběru dat z prohlížeče a exfiltraci čehokoli dalšího uloženého lokálně – od uložených hesel po informace o kryptoměnových peněženkách.

Důsledky pro soukromí po vypnutí bezpečnostních nástrojů

Skutečné nebezpečí této kampaně není jen počáteční infekce, ale to, co se stane poté, co bezpečnostní nástroje zhasnou. S vypnutým ochranným softwarem může infikované zařízení tiše unikat mnohem více dat, než si většina obětí uvědomuje: přihlášení uložená v prohlížeči, session cookies, data automatického vyplňování a soubory uložené lokálně. Toto je stejná kategorie informací, která končí jako palivo pro rozsáhlé incidenty úniku dat. Připomíná to vzorce viděné v případech, jako je únik dat SafePal, který zasáhl téměř 40 000 zákazníků, kde se citlivá data účtů dostala do nesprávných rukou, nebo únik Suno, který zasáhl 55 milionů uživatelů bez včasného oznámení. V obou případech se důsledky projevovaly dlouho po počátečním kompromitování, což je přesně vzorec, který má tento typ infostealer malware vytvořit.

Co to znamená pro vás

Pokud jste někdy byli vyzváni k „ověření, že jste člověk" zkopírováním příkazu do pole Spustit nebo terminálu, takto legitimní CAPTCHA systémy nefungují. Skutečné ověřovací systémy nikdy nežádají uživatele, aby otevírali PowerShell nebo vkládali systémové příkazy. Jakákoli stránka, která to dělá, by měla být okamžitě považována za varovný signál, bez ohledu na to, jak přesvědčivé je její značení nebo rozvržení.

Tato kampaň připomíná, že moderní malware stále více cílí na lidské chování spíše než na chyby v softwaru. Žádný firewall ani aktualizace antiviru nemůže plně kompenzovat uživatele, který dobrovolně spustí škodlivý příkaz, a proto je povědomí nyní stejně důležitou obrannou vrstvou jako jakékoli technické zabezpečení.

Praktická doporučení

  • Nikdy nekopírujte a nevkládejte příkazy z webových stránek do dialogového okna Spustit ve Windows, PowerShellu nebo terminálu, bez ohledu na to, jak oficiálně stránka vypadá.
  • Okamžitě zavřete kartu prohlížeče, pokud CAPTCHA stránka požaduje jakoukoli akci nad rámec jednoduchého kliknutí nebo výběru obrázku.
  • Udržujte bezpečnostní software aktualizovaný a zapněte funkce ochrany proti manipulaci (tamper protection), které mohou zabránit malwaru v tichém vypínání antivirových procesů.
  • Pokud máte podezření, že jste spustili podezřelý příkaz, odpojte se od internetu, spusťte úplnou bezpečnostní kontrolu a změňte hesla pro citlivé účty z jiného, nekompromitovaného zařízení.
  • Pravidelně kontrolujte hesla uložená v prohlížeči a zvažte správce hesel, protože infostealer malware často nejprve cílí na lokálně uložené přihlašovací údaje.

Falešné CAPTCHA malware kampaně uspívají díky zneužití důvěry v rutinu, kterou málokdy zpochybňujeme. Zůstat ostražitý vůči tomu, co by skutečná ověřovací výzva měla a neměla vyžadovat, zůstává nejjednodušší a nejúčinnější obranou.