Fałszywe aktualizacje przeglądarki i złośliwe oprogramowanie z fałszywą captchą wymierzone w użytkowników kryptowalut

Ataki z fałszywą captchą i fałszywą aktualizacją przeglądarki nakłaniają cię do samodzielnego zainstalowania złośliwego oprogramowania: strona pokazuje przekonujące okienko „potwierdź, że jesteś człowiekiem” lub ostrzeżenie „zaktualizuj przeglądarkę”, a potem każe pobrać plik albo wkleić polecenie na komputerze. W ten sposób instalujesz oprogramowanie, które kradnie dane portfeli kryptowalut, hasła i sesje przeglądarki. Prawdziwa captcha ani aktualizacja przeglądarki nigdy nie każe otwierać okna poleceń ani uruchamiać pliku pobranego z przypadkowej strony.

Użytkownicy kryptowalut są głównym celem, ponieważ jeden zainfekowany komputer może ujawnić pliki hot walletów, frazy seed zapisane w notatkach, sesje na giełdach i menedżery haseł. Ten poradnik wyjaśnia, jak działają te ataki, jakie są sygnały ostrzegawcze i co zrobić, jeśli podejrzewasz, że uruchomiłeś taki atak.

Jak działa sztuczka z fałszywą captchą

Ta technika, przez badaczy bezpieczeństwa często nazywana „ClickFix”, sprawia, że to ofiara instaluje złośliwe oprogramowanie.

1. 1Trafiasz na stronę – może to być zhakowany blog, fałszywa przeglądarka dokumentów, strona z pirackim oprogramowaniem albo link wysłany na czacie społeczności krypto.
2. 2Pojawia się znajomo wyglądająca weryfikacja, stylizowana na znaną usługę captcha, informująca, że musisz potwierdzić, że jesteś człowiekiem.
3. 3Gdy klikasz pole, strona po cichu kopiuje złośliwe polecenie do schowka.
4. 4Pojawiają się nowe instrukcje: w Windows „naciśnij Windows + R, potem Ctrl + V, potem Enter”; na Macu wariant ataku może kazać otworzyć Terminal i wkleić.
5. 5Uruchamiasz polecenie, nie widząc go w całości. Pobiera ono i uruchamia złośliwe oprogramowanie w tle.
6. 6Strona może wyświetlić „weryfikacja zakończona” i pozwolić ci przejść dalej, więc nic nie wydaje się podejrzane.

Sztuczka działa, bo omija wiele zabezpieczeń przeglądarki: to ty, a nie strona, uruchamiasz program.

Jak działają ataki z fałszywą aktualizacją przeglądarki

Starszym kuzynem fałszywych captch jest fałszywy baner aktualizacji:

• Przejęta lub złośliwa strona wyświetla pełnoekranowy komunikat, że twoja przeglądarka jest nieaktualna albo że strony nie da się wyświetlić bez aktualizacji.
• Strona naśladuje oznaczenia twojej przeglądarki i oferuje przycisk pobierania.
• Plik jest złośliwym oprogramowaniem, często udającym instalator lub archiwum zawierające skrypt.

Prawdziwe przeglądarki aktualizują się automatycznie lub przez aktualizacje systemu. Nigdy nie musisz pobierać aktualizacji przeglądarki ze strony, którą akurat odwiedzasz.

Co kradnie złośliwe oprogramowanie

Większość tych kampanii dostarcza infostealery – złośliwe oprogramowanie, które szybko zbiera cenne dane i wysyła je atakującemu. W przypadku użytkowników kryptowalut mogą to być:

Ponieważ infostealery działają w ciągu kilku sekund, straty mogą nastąpić, zanim zauważysz cokolwiek niezwykłego.

Hipotetyczny przykład

Poniżej znajduje się ilustracja złożona z wielu elementów, a nie prawdziwy przypadek.

Wyobraź sobie Alexa, który szuka darmowego narzędzia do wykresów i otwiera stronę z plikami do pobrania. Pojawia się okienko captcha. Po kliknięciu Alex dostaje polecenie, by nacisnąć Windows + R i wkleić, aby „dokończyć weryfikację”. Wydaje mu się to dziwne, ale strona wygląda profesjonalnie. Kilka godzin później portfel w przeglądarce Alexa jest pusty, a na koncie giełdowym widać próbę wypłaty. Infostealer skopiował zaszyfrowane dane portfela, zapisane hasła i pliki cookie sesji w ciągu kilku minut od uruchomienia.

Lista sygnałów ostrzegawczych

• „Captcha” każe użyć skrótów klawiszowych, otworzyć Uruchamianie, Terminal lub PowerShell albo cokolwiek wkleić.
• To strona internetowa, a nie twoja przeglądarka, twierdzi, że musisz pobrać aktualizację.
• Pobrany plik to skrypt, skrót lub nietypowy typ pliku zamiast zwykłego instalatora od oficjalnego dostawcy.
• Strona pojawiła się po przekierowaniu z witryny, której się nie spodziewałeś, albo z reklamy w wyszukiwarce.
• Link w rozmowie na Discordzie, Telegramie lub X prowadzi do etapu „weryfikacji”.
• Przeglądarka lub antywirus ostrzega przed plikiem, a strona każe zignorować ostrzeżenie.

Jak się chronić

1. 1Nigdy nie wklejaj poleceń, których nie rozumiesz, zwłaszcza ze strony internetowej.
2. 2Aktualizuj oprogramowanie tylko z oficjalnych źródeł: z menu ustawień przeglądarki, narzędzia aktualizacji systemu operacyjnego lub oficjalnej strony dostawcy.
3. 3Przechowuj frazy seed offline. Nigdy nie zapisuj ich w aplikacjach do notatek, na zrzutach ekranu ani w dokumentach w chmurze. Zobacz, jak prawidłowo zrobić kopię zapasową frazy seed.
4. 4Używaj portfela sprzętowego dla większych kwot, aby klucze prywatne nigdy nie znajdowały się na komputerze.
5. 5Używaj menedżera haseł z silnym hasłem głównym i włącz 2FA przez aplikację lub klucz sprzętowy na giełdach i w poczcie e-mail.
6. 6Rozdziel aktywności: rozważ osobne urządzenie lub profil przeglądarki do krypto, którego nie używasz do pobierania plików ani przeglądania przypadkowych stron.
7. 7Uważaj na reklamy w wyszukiwarkach dotyczące oprogramowania i narzędzi krypto; nasz poradnik o phishingu przez reklamy w wyszukiwarkach wyjaśnia dlaczego.

Co zrobić, jeśli to uruchomiłeś

1. 1Odłącz zainfekowane urządzenie od internetu.
2. 2Z czystego urządzenia utwórz nowy portfel z nową frazą seed i przenieś środki z każdego portfela, który był na zainfekowanym komputerze. Postępuj zgodnie z poradnikiem co zrobić natychmiast, jeśli twój portfel został przejęty.
3. 3Zmień hasła do poczty e-mail, giełd i menedżera haseł, zaczynając od poczty, i wyloguj wszystkie aktywne sesje.
4. 4Cofnij zgody na tokeny w każdym zagrożonym portfelu, którego nadal używasz.
5. 5Wyczyść i przeinstaluj zainfekowany komputer albo zleć to specjaliście; ręczne usuwanie infostealerów jest zawodne.
6. 6Zgłoś złośliwą stronę w narzędziu bezpiecznego przeglądania swojej przeglądarki oraz nam przez nasz formularz zgłoszeniowy.

Podsumowanie

Fałszywe captchy i fałszywe aktualizacje działają, bo to ty sam uruchamiasz złośliwe oprogramowanie. Żadna prawdziwa weryfikacja nie każe wklejać polecenia, a żadna prawdziwa przeglądarka nie potrzebuje pliku pobranego z przypadkowej strony. Trzymaj klucze z dala od codziennych komputerów, aktualizuj tylko z oficjalnych źródeł, a jeśli dałeś się nabrać, działaj szybko z czystego urządzenia.