Falska webbläsaruppdateringar och captcha-skadlig kod som riktar sig mot kryptoanvändare

Falska captcha- och webbläsaruppdateringsattacker lurar dig att själv installera skadlig kod: en webbplats visar en övertygande ruta med ”bekräfta att du är människa” eller en varning om att ”uppdatera din webbläsare”, och instruerar dig sedan att ladda ner en fil eller klistra in ett kommando på din dator. Det installerar programvara som stjäl data från kryptoplånböcker, lösenord och webbläsarsessioner. En riktig captcha eller webbläsaruppdatering ber dig aldrig öppna ett kommandofönster eller köra en nedladdad fil från en slumpmässig webbplats.

Kryptoanvändare är förstahandsmål eftersom en enda infekterad dator kan exponera filer från hot wallets, seed-fraser som sparats i anteckningar, inloggade sessioner på börser och lösenordshanterare. Den här guiden förklarar hur attackerna fungerar, vilka varningssignalerna är och vad du gör om du tror att du har kört en.

Så fungerar det falska captcha-tricket

Tekniken, som säkerhetsforskare ofta kallar ”ClickFix”, gör offret till den som installerar.

1. 1Du hamnar på en sida – kanske en hackad blogg, en falsk dokumentvisare, en sajt med piratkopierad programvara eller en länk som skickats i en chatt i en kryptogemenskap.
2. 2En välbekant kontroll dyker upp, utformad som en känd captcha-tjänst, och säger att du måste bekräfta att du är människa.
3. 3När du klickar i rutan kopierar sidan i tysthet ett skadligt kommando till ditt urklipp.
4. 4Nya instruktioner visas: på Windows ”tryck Windows + R, sedan Ctrl + V, sedan Enter”; på Mac kan en variant be dig öppna Terminal och klistra in.
5. 5Du kör kommandot utan att se det i sin helhet. Det laddar ner och startar skadlig kod i bakgrunden.
6. 6Sidan kan visa ”verifiering klar” och låta dig fortsätta, så att inget verkar fel.

Tricket fungerar eftersom det kringgår många av webbläsarens skydd: det är du, inte webbplatsen, som kör programmet.

Så fungerar falska webbläsaruppdateringar

Den äldre kusinen till falska captchor är den falska uppdateringsbannern:

• En hackad eller skadlig webbplats lägger ett helskärmsmeddelande över sidan som säger att din webbläsare är föråldrad eller att en sida inte kan visas utan en uppdatering.
• Sidan imiterar din webbläsares varumärke och erbjuder en nedladdningsknapp.
• Filen är skadlig kod, ofta förklädd till ett installationsprogram eller en komprimerad fil som innehåller ett skript.

Riktiga webbläsare uppdateras automatiskt eller via systemuppdateringar. Du behöver aldrig ladda ner en webbläsaruppdatering från en webbplats du råkade besöka.

Vad den skadliga koden stjäl

De flesta av dessa kampanjer levererar informationsstjälare – skadlig kod som snabbt samlar in värdefull data och skickar den till angriparen. För kryptoanvändare kan det omfatta:

Eftersom stjälare agerar inom några sekunder kan förlusterna ske innan du märker något ovanligt.

Ett hypotetiskt exempel

Följande är en sammansatt illustration, inte ett verkligt fall.

Tänk dig Alex, som söker efter ett gratis diagramverktyg och öppnar en nedladdningssajt. En captcha-ruta dyker upp. Efter att ha klickat i den uppmanas Alex att trycka Windows + R och klistra in för att ”slutföra verifieringen”. Det känns konstigt, men sajten ser professionell ut. Några timmar senare är Alex webbläsarplånbok tömd och ett börskonto visar ett uttagsförsök. Stjälaren hade kopierat plånbokens krypterade data, sparade lösenord och sessionscookies inom några minuter efter att den körts.

Checklista med varningssignaler

• En ”captcha” ber dig använda kortkommandon, öppna Kör, Terminal eller PowerShell, eller klistra in något.
• En webbplats, inte din webbläsare, säger att du måste ladda ner en uppdatering.
• En nedladdning kommer som ett skript, en genväg eller en ovanlig filtyp i stället för ett vanligt installationsprogram från den officiella leverantören.
• Sidan dök upp efter en omdirigering från en webbplats du inte väntade dig, eller från en sökannons.
• En länk i en konversation på Discord, Telegram eller X leder till ett ”verifierings”-steg.
• Din webbläsare eller ditt antivirusprogram varnar för filen och sidan säger åt dig att ignorera varningen.

Så skyddar du dig

1. 1Klistra aldrig in kommandon du inte förstår, särskilt inte från en webbsida.
2. 2Uppdatera programvara endast från officiella källor: webbläsarens inställningsmeny, operativsystemets uppdateringsverktyg eller leverantörens officiella webbplats.
3. 3Håll seed-fraser offline. Spara dem aldrig i anteckningsappar, skärmbilder eller molndokument. Se hur du säkerhetskopierar en seed-fras på rätt sätt.
4. 4Använd en hårdvaruplånbok för betydande belopp, så att privata nycklar aldrig ligger på din dator.
5. 5Använd en lösenordshanterare med ett starkt huvudlösenord, och aktivera appbaserad 2FA eller 2FA med hårdvarunyckel på börser och e-post.
6. 6Separera aktiviteter: överväg en dedikerad enhet eller webbläsarprofil för krypto som du inte använder för nedladdningar eller för att surfa på slumpmässiga webbplatser.
7. 7Var försiktig med sökannonser för programvara och kryptoverktyg; vår guide om nätfiske via sökannonser förklarar varför.

Vad du gör om du körde det

1. 1Koppla bort den infekterade enheten från internet.
2. 2Från en ren enhet, skapa en ny plånbok med en ny seed-fras och flytta medel från varje plånbok som fanns på den infekterade datorn. Följ vad du ska göra omedelbart om din plånbok har komprometterats.
3. 3Byt lösenord för e-post, börser och din lösenordshanterare – börja med e-posten – och logga ut alla aktiva sessioner.
4. 4Återkalla tokengodkännanden från varje drabbad plånbok som du fortsätter att använda.
5. 5Rensa och installera om den infekterade datorn, eller låt en professionell göra det; att ta bort stjälare manuellt är opålitligt.
6. 6Rapportera den skadliga webbplatsen till din webbläsares verktyg för att rapportera osäkra sidor och till oss via vårt rapportformulär.

Slutsats

Falska captchor och falska uppdateringar lyckas eftersom de får dig att själv köra den skadliga koden. Ingen riktig verifiering ber dig klistra in ett kommando, och ingen riktig webbläsare behöver en nedladdning från en slumpmässig sida. Håll nycklar borta från vardagsdatorer, uppdatera bara från officiella källor, och om du har gjort ett misstag – agera snabbt från en ren enhet.