Фальшивые обновления браузера и вредоносные капчи, нацеленные на криптопользователей

Атаки с фальшивыми капчами и поддельными обновлениями браузера обманом заставляют вас самостоятельно установить вредоносную программу: сайт показывает убедительное окно «подтвердите, что вы человек» или предупреждение «обновите браузер», а затем просит скачать файл или вставить команду на компьютере. Так устанавливается программа, которая крадёт данные криптокошельков, пароли и сеансы браузера. Настоящая капча или настоящее обновление браузера никогда не просят открыть командное окно или запустить файл, скачанный со случайного сайта.

Криптопользователи — главная мишень, потому что один заражённый компьютер может раскрыть файлы горячих кошельков, сид-фразы, сохранённые в заметках, сеансы на биржах и менеджеры паролей. В этом руководстве объясняется, как работают такие атаки, каковы тревожные признаки и что делать, если вы думаете, что запустили одну из них.

Как работает трюк с фальшивой капчей

Этот приём, который исследователи безопасности часто называют «ClickFix», превращает жертву в того, кто сам устанавливает вредоносную программу.

1. 1Вы попадаете на страницу — например, взломанный блог, поддельную программу просмотра документов, сайт с пиратским ПО или ссылку, присланную в чате криптосообщества.
2. 2Появляется знакомая на вид проверка, оформленная как известный сервис капчи, с сообщением, что нужно подтвердить, что вы человек.
3. 3Когда вы нажимаете на флажок, страница незаметно копирует вредоносную команду в буфер обмена.
4. 4Появляются новые инструкции: в Windows — «нажмите Windows + R, затем Ctrl + V, затем Enter»; на Mac один из вариантов может попросить открыть Терминал и вставить команду.
5. 5Вы выполняете команду, не видя её полностью. Она загружает и запускает вредоносную программу в фоновом режиме.
6. 6Страница может сообщить «проверка завершена» и позволить продолжить, так что ничего не вызывает подозрений.

Трюк работает, потому что обходит многие защитные механизмы браузера: программу запускаете вы, а не сайт.

Как работают атаки с поддельными обновлениями браузера

Более старый родственник фальшивых капч — поддельный баннер обновления:

• Взломанный или вредоносный сайт выводит поверх страницы полноэкранное сообщение о том, что ваш браузер устарел или что страницу нельзя отобразить без обновления.
• Страница имитирует фирменный стиль вашего браузера и предлагает кнопку загрузки.
• Файл — это вредоносная программа, часто замаскированная под установщик или архив со скриптом внутри.

Настоящие браузеры обновляются автоматически или через системные обновления. Вам никогда не нужно скачивать обновление браузера с сайта, на который вы случайно зашли.

Что крадёт вредоносная программа

Большинство таких кампаний распространяют инфостилеры — вредоносные программы, которые быстро собирают ценные данные и отправляют их злоумышленнику. Для криптопользователей это может включать:

Поскольку инфостилеры действуют за секунды, потери могут произойти раньше, чем вы заметите что-то необычное.

Гипотетический пример

Ниже приведена собирательная иллюстрация, а не реальный случай.

Представьте Алекса, который ищет бесплатный инструмент для графиков и открывает сайт с загрузками. Появляется окно капчи. После нажатия Алексу предлагают нажать Windows + R и вставить, чтобы «завершить проверку». Это кажется странным, но сайт выглядит профессионально. Через несколько часов браузерный кошелёк Алекса опустошён, а на аккаунте биржи видна попытка вывода средств. Инфостилер скопировал зашифрованные данные кошелька, сохранённые пароли и сеансовые cookie в течение нескольких минут после запуска.

Чек-лист тревожных признаков

• «Капча» просит использовать сочетания клавиш, открыть «Выполнить», Терминал или PowerShell либо что-то вставить.
• О необходимости скачать обновление сообщает сайт, а не ваш браузер.
• Загрузка приходит в виде скрипта, ярлыка или файла необычного типа вместо обычного установщика от официального разработчика.
• Страница появилась после перенаправления с неожиданного сайта или из поисковой рекламы.
• Ссылка в переписке в Discord, Telegram или X ведёт на шаг «проверки».
• Браузер или антивирус предупреждает о файле, а страница советует проигнорировать предупреждение.

Как защититься

1. 1Никогда не вставляйте команды, которые не понимаете, особенно с веб-страниц.
2. 2Обновляйте программы только из официальных источников: через меню настроек браузера, средство обновления операционной системы или официальный сайт разработчика.
3. 3Храните сид-фразы офлайн. Никогда не сохраняйте их в приложениях для заметок, на скриншотах или в облачных документах. См. как правильно сделать резервную копию сид-фразы.
4. 4Используйте аппаратный кошелёк для значительных сумм, чтобы приватные ключи никогда не находились на компьютере.
5. 5Используйте менеджер паролей с надёжным мастер-паролем и включите 2FA через приложение или аппаратный ключ на биржах и в почте.
6. 6Разделяйте задачи: подумайте о выделенном устройстве или профиле браузера для криптовалюты, который вы не используете для загрузок или посещения случайных сайтов.
7. 7Будьте осторожны с поисковой рекламой программ и криптоинструментов; наше руководство о фишинге через поисковую рекламу объясняет почему.

Что делать, если вы это запустили

1. 1Отключите заражённое устройство от интернета.
2. 2С чистого устройства создайте новый кошелёк с новой сид-фразой и переведите средства из всех кошельков, которые были на заражённом компьютере. Следуйте руководству что делать немедленно, если ваш кошелёк скомпрометирован.
3. 3Смените пароли от почты, бирж и менеджера паролей, начиная с почты, и завершите все активные сеансы.
4. 4Отзовите разрешения на токены во всех пострадавших кошельках, которыми продолжаете пользоваться.
5. 5Сотрите данные и переустановите систему на заражённом компьютере или поручите это специалисту; удалять инфостилеры вручную ненадёжно.
6. 6Сообщите о вредоносном сайте через инструмент безопасного просмотра вашего браузера и нам через нашу форму для сообщений.

Итог

Фальшивые капчи и поддельные обновления работают, потому что заставляют вас самостоятельно запустить вредоносную программу. Ни одна настоящая проверка не просит вставить команду, и ни одному настоящему браузеру не нужна загрузка со случайной страницы. Держите ключи подальше от повседневных компьютеров, обновляйтесь только из официальных источников, а если вы всё же попались — действуйте быстро с чистого устройства.