Nep-browserupdates en captcha-malware gericht op cryptogebruikers

Nep-captcha- en nep-browserupdate-aanvallen misleiden je om zelf malware te installeren: een website toont een overtuigend vakje ‘bevestig dat je een mens bent’ of een waarschuwing ‘werk je browser bij’ en vraagt je vervolgens een bestand te downloaden of een opdracht in je computer te plakken. Daarmee installeer je software die gegevens van cryptowallets, wachtwoorden en browsersessies steelt. Een echte captcha of browserupdate vraagt je nooit een opdrachtvenster te openen of een gedownload bestand van een willekeurige site uit te voeren.

Cryptogebruikers zijn favoriete doelwitten, omdat één geïnfecteerde computer hot-walletbestanden, in notities opgeslagen seedphrases, sessies op exchanges en wachtwoordmanagers kan blootleggen. Deze gids legt uit hoe deze aanvallen werken, wat de waarschuwingssignalen zijn en wat je doet als je denkt dat je er een hebt uitgevoerd.

Zo werkt de nep-captchatruc

Deze techniek, door beveiligingsonderzoekers vaak ‘ClickFix’ genoemd, maakt het slachtoffer tot degene die installeert.

1. 1Je komt op een pagina terecht – misschien een gehackte blog, een nep-documentviewer, een site met illegale software of een link die in een chat van een cryptocommunity is gedeeld.
2. 2Er verschijnt een vertrouwd ogende controle, vormgegeven als een bekende captchadienst, die zegt dat je moet bevestigen dat je een mens bent.
3. 3Als je op het vakje klikt, kopieert de pagina ongemerkt een kwaadaardige opdracht naar je klembord.
4. 4Er verschijnen nieuwe instructies: op Windows ‘druk op Windows + R, dan Ctrl + V, dan Enter’; op een Mac kan een variant je vragen Terminal te openen en te plakken.
5. 5Je voert de opdracht uit zonder hem volledig te zien. Die downloadt en start malware op de achtergrond.
6. 6De pagina kan ‘verificatie voltooid’ melden en je laten doorgaan, zodat er niets mis lijkt.

De truc werkt omdat hij veel browserbeveiligingen omzeilt: jij voert het programma uit, niet de website.

Zo werken nep-browserupdate-aanvallen

De oudere neef van nep-captcha’s is de nep-updatebanner:

• Een gehackte of kwaadaardige site legt een schermvullende melding over de pagina die zegt dat je browser verouderd is of dat een pagina zonder update niet kan worden weergegeven.
• De pagina imiteert de huisstijl van je browser en biedt een downloadknop aan.
• Het bestand is malware, vaak vermomd als installatieprogramma of als gecomprimeerd bestand met een script erin.

Echte browsers werken automatisch bij of via systeemupdates. Je hoeft nooit een browserupdate te downloaden van een site die je toevallig bezocht.

Wat de malware steelt

De meeste van deze campagnes verspreiden infostealers – malware die snel waardevolle gegevens verzamelt en naar de aanvaller stuurt. Voor cryptogebruikers kan dat het volgende omvatten:

Omdat stealers binnen enkele seconden toeslaan, kunnen er verliezen ontstaan voordat je iets ongewoons merkt.

Een hypothetisch voorbeeld

Het volgende is een samengestelde illustratie, geen echte zaak.

Stel je Alex voor, die zoekt naar een gratis grafiektool en een downloadsite opent. Er verschijnt een captchavakje. Nadat Alex erop heeft geklikt, krijgt die de instructie om Windows + R in te drukken en te plakken om ‘de verificatie te voltooien’. Het voelt vreemd, maar de site ziet er professioneel uit. Een paar uur later is de browserwallet van Alex leeggehaald en toont een exchange-account een opnamepoging. De stealer had binnen enkele minuten na het uitvoeren de versleutelde walletgegevens, opgeslagen wachtwoorden en sessiecookies gekopieerd.

Checklist met waarschuwingssignalen

• Een ‘captcha’ vraagt je sneltoetsen te gebruiken, Uitvoeren, Terminal of PowerShell te openen, of iets te plakken.
• Een website, niet je browser, zegt dat je een update moet downloaden.
• Een download komt binnen als script, snelkoppeling of ongebruikelijk bestandstype in plaats van een normaal installatieprogramma van de officiële leverancier.
• De pagina verscheen na een doorverwijzing vanaf een site die je niet verwachtte, of vanuit een zoekadvertentie.
• Een link in een gesprek op Discord, Telegram of X leidt naar een ‘verificatie’-stap.
• Je browser of antivirus waarschuwt voor het bestand en de pagina zegt dat je de waarschuwing moet negeren.

Zo bescherm je jezelf

1. 1Plak nooit opdrachten die je niet begrijpt, zeker niet vanaf een webpagina.
2. 2Werk software alleen bij via officiële bronnen: het instellingenmenu van de browser, de updatetool van het besturingssysteem of de officiële website van de leverancier.
3. 3Bewaar seedphrases offline. Sla ze nooit op in notitie-apps, screenshots of clouddocumenten. Zie hoe je een seedphrase op de juiste manier back-upt.
4. 4Gebruik een hardware wallet voor serieuze bedragen, zodat privésleutels nooit op je computer staan.
5. 5Gebruik een wachtwoordmanager met een sterk hoofdwachtwoord en schakel 2FA via een app of hardwaresleutel in bij exchanges en e-mail.
6. 6Scheid activiteiten: overweeg een apart apparaat of browserprofiel voor crypto dat je niet gebruikt voor downloads of het bezoeken van willekeurige sites.
7. 7Wees voorzichtig met zoekadvertenties voor software en cryptotools; onze gids over phishing via zoekadvertenties legt uit waarom.

Wat te doen als je het hebt uitgevoerd

1. 1Koppel het geïnfecteerde apparaat los van internet.
2. 2Maak vanaf een schoon apparaat een nieuwe wallet aan met een nieuwe seedphrase en verplaats tegoeden uit elke wallet die op de geïnfecteerde computer stond. Volg wat je direct moet doen als je wallet is gecompromitteerd.
3. 3Wijzig wachtwoorden voor e-mail, exchanges en je wachtwoordmanager, te beginnen met e-mail, en log alle actieve sessies uit.
4. 4Trek tokengoedkeuringen in bij elke getroffen wallet die je blijft gebruiken.
5. 5Wis en herinstalleer de geïnfecteerde computer, of laat een professional dat doen; stealers handmatig verwijderen is onbetrouwbaar.
6. 6Meld de kwaadaardige site bij de safe-browsing-meldtool van je browser en bij ons via ons meldformulier.

Conclusie

Nep-captcha’s en nep-updates slagen omdat ze jou de malware zelf laten uitvoeren. Geen echte verificatie vraagt je een opdracht te plakken, en geen echte browser heeft een download van een willekeurige pagina nodig. Houd sleutels weg van je dagelijkse computers, werk alleen bij via officiële bronnen en, als je toch bent ingetrapt, handel snel vanaf een schoon apparaat.