Podstępna CAPTCHA. Nowa metoda wyłudzenia danych

Do palety wielu metod phishingu dołącza kolejna, której istotą jest imitowanie systemu weryfikacji użytkownika CAPTCHA. Oszuści proszą w niej o wykonanie prostych kombinacji klawiszowych, a nieświadomy zagrożenia użytkownik zainstaluje w ten sposób malware w komputerze.

O nowej metodzie oszustwa i podszywaniu się pod system CAPTCHA ostrzega m.in. serwis Sekurak. Użytkownik może trafić na stronę, gdzie pojawia się dobrze znane wielu osobom okienko z prośbą o potwierdzenie, że użytkownik to człowiek. W autentycznych przypadkach najczęściej spotykamy się z pojedynczym przyciskiem z napisem "Nie jestem robotem", koniecznością dopasowania puzzla do obrazka lub (w najstarszej wersji) wybraniem niepasujących zdjęć do pozostałych. Tutaj jest jednak inaczej.

Spreparowana wersja systemu CAPTCHA sugeruje, że potwierdzenie użytkownika będzie możliwe po wykonaniu prostej instrukcji - naciśnięcia kolejno kombinacji Win+R, Win+V oraz klawisza Enter. W praktyce to przepis na uruchomienie szkodliwego skryptu, który umieszczany jest w systemowym schowku, a potem nieświadomie włączany przez ofiarę. Przeglądarka internetowa w żaden sposób nie ostrzeże, że do schowka trafił szkodliwy kod. Na komputer zostanie z kolei pobrane fałszywe oprogramowanie.

Jak podaje Sekurak, po uruchomieniu skryptu można się spodziewać pobrania infostealera, choć oczywiście formy ataku mogą się różnić zależnie od konkretnego przypadku. Konkluzja jest jednak wspólna - użytkownik nie jest świadomy, że w jego komputerze działa wówczas malware, który może wykradać pliki, dane czy odczytywać zawartość ekranu, a to może prowadzić na przykład do wykradania danych logowania do e-maila, mediów społecznościowych czy bankowości elektronicznej.