Hackerii au folosit pagini CAPTCHA false pentru a răspândi software malițios pe Windows

Cum folosesc atacatorii pagini CAPTCHA false

Cercetători noi au descoperit o vulnerabilitate care permite hackerilor să înșele utilizatorii Windows și să îi facă să execute un script malițios PowerShell. Scriptul, numit Stealthy StealC Information Stealer, fură date din browser, parole pentru portofele de criptomonede, conturi Steam și Outlook, apoi trimite toate acestea împreună cu capturi de ecran către serverul de comandă.

Ce se întâmplă în timpul atacului?
1. Pagini CAPTCHA false

Hackerii plasează o interfață falsă de verificare care arată ca o pagină obișnuită cu CAPTCHA. Pe aceste pagini utilizatorul vede un „cerere” să apese combinația de taste Windows + R (pentru a deschide dialogul „Execută”) și apoi Ctrl + V (pentru a lipi din clipboard).

2. Executarea PowerShell din clipboard

În clipboard este încărcat în prealabil scriptul executabil PowerShell. Utilizatorul, urmând instrucțiunile, îl rulează manual, fără să suspecteze natura malițioasă a comenzii.

3. Descărcare și răspândire de cod

După rulare, scriptul se conectează la un server remote și descarcă cod malițios suplimentar. Tranzitul este criptat cu protocolul RC4, ceea ce face dificilă detectarea sa prin metodele standard de securitate.

De ce este periculos?
- Evitarea protecțiilor tradiționale – mecanismele obișnuite de blocare a descărcării fișierelor pot să nu funcționeze, deoarece scriptul este deja rulat în sistem.
- Gama largă de date furate – de la parole de browser până la chei de criptomonede și conturi ale serviciilor populare.
- Inobservabilitatea pentru utilizator – acțiunea pare o verificare de securitate normală, nu lansarea unui software malițios.

Cum să te protejezi?
Măsură Ce face Limitarea utilizării PowerShell Instalează politici care interzic execuția scripturilor fără semnătură. Controlul aplicațiilor Windows Activează AppLocker sau un sistem similar de control al execuției programelor. Monitorizarea traficului outbound Urmărește conexiunile suspecte (de exemplu, trafic HTTP criptat cu RC4) și blochează-le.

Urmând aceste recomandări, poți reduce semnificativ riscul ca utilizatorul să devină victima unui astfel de atac.