Falsk CAPTCHA-malware deaktiverer 145 sikkerhedsprocesser

Et velkendt prompt bliver til en angrebsvektor

De fleste har klikket sig igennem en CAPTCHA uden at tænke nærmere over det. Den rutineprægede tillid er præcis det, en ny malwarekampagne udnytter. Sikkerhedsforskere har identificeret falske CAPTCHA-sider, der er designet til at ligne standard "Jeg er ikke en robot"-verifikationsskærme, bortset fra at de i stedet for at bekræfte, at du er menneske, narre dig til at installere malware, der kan deaktivere 145 forskellige sikkerhedsprocesser på din enhed.

Angrebet fungerer gennem en teknik, der er blevet stadig mere almindelig: I stedet for at bede ofrene om at downloade en fil, instruerer den falske side dem i at kopiere en kommando og indsætte den i Windows' Kør-dialog eller PowerShell. Fordi offeret selv fysisk udfører kommandoen, får mange antivirusværktøjer og browserbeskyttelser aldrig en chance for at gribe ind, før skaden er sket. Når kommandoen først er kørt, henter og installerer PowerShell-kommandoen malware, der systematisk lukker ned for sikkerhedssoftware, der kører på maskinen, hvilket effektivt blænder systemet for yderligere kompromittering, mens den stjæler data i baggrunden.

Hvorfor denne metode er så effektiv

Det, der gør falske CAPTCHA-kampagner særligt farlige, er, hvor lidt teknisk kunnen de kræver af offeret. Der er ingen mistænkelig vedhæftning at åbne og ingen åbenlys eksekverbar fil, der udløser en sikkerhedsadvarsel. Hele bedrageriet er afhængigt af social manipulation: en side, der ser legitim ud, et verifikationstrin, der føles rutinepræget, og instruktioner, der virker harmløse, fordi det at kopiere og indsætte tekst føles som en passiv handling snarere end en aktiv sikkerhedsbeslutning.

Dette afspejler en bredere ændring i, hvordan cyberkriminelle pakker deres angreb. Ligesom hackere nu samler malware i browseren og misbruger velkendte mærkenavne som ChatGPT for at slippe forbi detektion, udnytter falske CAPTCHA-kampagner det samme princip: at skjule ondsindet hensigt bag en grænseflade, som brugerne allerede stoler på og interagerer med dagligt. Traditionelle antivirussignaturer er bygget til at fange ondsindede filer, ikke brugerinitierede kommandoer, der tastes ind i et legitimt systemværktøj. Det hul er præcis, hvad disse kampagner er designet til at udnytte.

Når de 145 målrettede sikkerhedsprocesser først er deaktiveret, har den kompromitterede maskine reelt mistet sin evne til at opdage eller rapportere yderligere ondsindet aktivitet. Det åbner døren for tyveri af legitimationsoplysninger, høst af browserdata og eksfiltrering af alt andet, der er gemt lokalt, fra gemte adgangskoder til cryptocurrency-wallet-oplysninger.

Privatlivsmæssige konsekvenser ved deaktiverede sikkerhedsværktøjer

Den virkelige fare ved denne kampagne er ikke kun den indledende infektion, det er, hvad der sker, efter sikkerhedsværktøjerne går i mørke. Med beskyttelsessoftware deaktiveret kan en inficeret enhed stille og roligt lække langt mere, end de fleste ofre er klar over: browser-gemte logins, sessionscookies, autofill-data og lokalt gemte filer. Dette er den samme kategori af information, der ender med at drive storstilede datalækagehændelser. Det afspejler mønstre, man ser i sager som SafePal-databruden, der eksponerede næsten 40.000 kunder, hvor følsomme kontooplysninger endte i de forkerte hænder, eller Suno-bruden, der eksponerede 55 millioner brugere uden rettidig underretning. I begge tilfælde udspillede konsekvenserne sig længe efter den indledende kompromittering, hvilket er præcis det mønster, infostealer-malware som denne er bygget til at skabe.

Hvad dette betyder for dig

Hvis du nogensinde er blevet bedt om at "bekræfte, at du er menneske" ved at kopiere en kommando ind i en Kør-boks eller terminal, så er det ikke sådan, legitime CAPTCHA-systemer fungerer. Ægte verifikationssystemer beder aldrig brugere om at åbne PowerShell eller indsætte systemkommandoer. Enhver side, der gør det, bør behandles som et øjeblikkeligt advarselstegn, uanset hvor overbevisende branding eller layout ser ud.

Denne kampagne er en påmindelse om, at moderne malware i stigende grad retter sig mod menneskelig adfærd snarere end softwarefejl. Ingen firewall eller antivirusopdatering kan fuldt ud kompensere for, at en bruger frivilligt udfører en ondsindet kommando, hvilket er grunden til, at bevidsthed nu er lige så vigtigt et forsvarslag som enhver teknisk sikkerhedsforanstaltning.

Praktiske råd

• Kopier og indsæt aldrig kommandoer fra et websted i Windows' Kør-dialog, PowerShell eller Terminal, uanset hvor officielt siden ser ud.
• Luk browserfanen med det samme, hvis en CAPTCHA-side beder dig om at udføre en handling ud over et simpelt klik eller valg af billeder.
• Hold sikkerhedssoftware opdateret, og aktivér tamper protection-funktioner, som kan forhindre malware i stille og roligt at deaktivere antivirusprocesser.
• Hvis du har mistanke om, at du har kørt en mistænkelig kommando, så afbryd internetforbindelsen, kør en fuld sikkerhedsscanning, og skift adgangskoder til følsomme konti fra en separat, ukompromitteret enhed.
• Gennemgå regelmæssigt browser-gemte adgangskoder, og overvej en adgangskodeadministrator, da infostealere ofte først angriber lokalt gemte legitimationsoplysninger.

Falske CAPTCHA-malwarekampagner lykkes ved at udnytte tillid til en rutine, vi sjældent stiller spørgsmål ved. At forblive opmærksom på, hvad et ægte verifikationsprompt bør og ikke bør bede dig om, forbliver det enkleste og mest effektive forsvar.