Фальшиві оновлення браузера та шкідливі капчі, що атакують криптокористувачів

Атаки з фальшивими капчами та підробленими оновленнями браузера обманом змушують вас самостійно встановити шкідливу програму: сайт показує переконливе вікно «підтвердіть, що ви людина» або попередження «оновіть браузер», а потім просить завантажити файл чи вставити команду на комп’ютері. Так встановлюється програма, яка краде дані криптогаманців, паролі та сеанси браузера. Справжня капча чи справжнє оновлення браузера ніколи не просять відкрити командне вікно або запустити файл, завантажений із випадкового сайту.

Криптокористувачі — головна мішень, бо один заражений комп’ютер може розкрити файли гарячих гаманців, сид-фрази, збережені в нотатках, сеанси на біржах і менеджери паролів. Цей посібник пояснює, як працюють такі атаки, які є тривожні ознаки та що робити, якщо ви вважаєте, що запустили одну з них.

Як працює трюк із фальшивою капчею

Цей прийом, який дослідники безпеки часто називають «ClickFix», перетворює жертву на того, хто сам встановлює шкідливу програму.

1. 1Ви потрапляєте на сторінку — наприклад, зламаний блог, підроблений переглядач документів, сайт із піратським ПЗ або посилання, надіслане в чаті криптоспільноти.
2. 2З’являється знайома на вигляд перевірка, оформлена як відомий сервіс капчі, з повідомленням, що потрібно підтвердити, що ви людина.
3. 3Коли ви натискаєте на позначку, сторінка непомітно копіює шкідливу команду в буфер обміну.
4. 4З’являються нові інструкції: у Windows — «натисніть Windows + R, потім Ctrl + V, потім Enter»; на Mac один із варіантів може попросити відкрити Термінал і вставити команду.
5. 5Ви виконуєте команду, не бачачи її повністю. Вона завантажує й запускає шкідливу програму у фоновому режимі.
6. 6Сторінка може повідомити «перевірку завершено» і дозволити продовжити, тож ніщо не викликає підозр.

Трюк працює, бо обходить багато захисних механізмів браузера: програму запускаєте ви, а не сайт.

Як працюють атаки з підробленими оновленнями браузера

Старший родич фальшивих капч — підроблений банер оновлення:

• Зламаний або шкідливий сайт виводить поверх сторінки повноекранне повідомлення про те, що ваш браузер застарів або що сторінку неможливо показати без оновлення.
• Сторінка імітує фірмовий стиль вашого браузера й пропонує кнопку завантаження.
• Файл — це шкідлива програма, часто замаскована під інсталятор або архів зі скриптом усередині.

Справжні браузери оновлюються автоматично або через системні оновлення. Вам ніколи не потрібно завантажувати оновлення браузера із сайту, на який ви випадково зайшли.

Що краде шкідлива програма

Більшість таких кампаній поширюють інфостилери — шкідливі програми, які швидко збирають цінні дані й надсилають їх зловмиснику. Для криптокористувачів це може включати:

Оскільки інфостилери діють за лічені секунди, втрати можуть статися раніше, ніж ви помітите щось незвичне.

Гіпотетичний приклад

Нижче наведено збірну ілюстрацію, а не реальний випадок.

Уявіть Алекса, який шукає безкоштовний інструмент для графіків і відкриває сайт із завантаженнями. З’являється вікно капчі. Після натискання Алексу пропонують натиснути Windows + R і вставити, щоб «завершити перевірку». Це здається дивним, але сайт виглядає професійно. Через кілька годин браузерний гаманець Алекса спустошено, а в акаунті біржі видно спробу виведення коштів. Інфостилер скопіював зашифровані дані гаманця, збережені паролі та сеансові cookie протягом кількох хвилин після запуску.

Чек-лист тривожних ознак

• «Капча» просить використати комбінації клавіш, відкрити «Виконати», Термінал чи PowerShell або щось вставити.
• Про потребу завантажити оновлення повідомляє сайт, а не ваш браузер.
• Завантаження надходить у вигляді скрипта, ярлика або файлу незвичного типу замість звичайного інсталятора від офіційного розробника.
• Сторінка з’явилася після перенаправлення з неочікуваного сайту або з пошукової реклами.
• Посилання в розмові в Discord, Telegram чи X веде на крок «перевірки».
• Браузер або антивірус попереджає про файл, а сторінка радить проігнорувати попередження.

Як захиститися

1. 1Ніколи не вставляйте команди, яких не розумієте, особливо з вебсторінок.
2. 2Оновлюйте програми лише з офіційних джерел: через меню налаштувань браузера, засіб оновлення операційної системи або офіційний сайт розробника.
3. 3Зберігайте сид-фрази офлайн. Ніколи не зберігайте їх у застосунках для нотаток, на знімках екрана чи в хмарних документах. Див. як правильно створити резервну копію сид-фрази.
4. 4Використовуйте апаратний гаманець для значних сум, щоб приватні ключі ніколи не зберігалися на комп’ютері.
5. 5Використовуйте менеджер паролів із надійним головним паролем і ввімкніть 2FA через застосунок або апаратний ключ на біржах і в пошті.
6. 6Розділяйте завдання: подумайте про окремий пристрій або профіль браузера для криптовалюти, який ви не використовуєте для завантажень чи відвідування випадкових сайтів.
7. 7Будьте обережні з пошуковою рекламою програм і криптоінструментів; наш посібник про фішинг через пошукову рекламу пояснює чому.

Що робити, якщо ви це запустили

1. 1Від’єднайте заражений пристрій від інтернету.
2. 2З чистого пристрою створіть новий гаманець із новою сид-фразою та переведіть кошти з усіх гаманців, що були на зараженому комп’ютері. Дотримуйтеся посібника що робити негайно, якщо ваш гаманець скомпрометовано.
3. 3Змініть паролі від пошти, бірж і менеджера паролів, починаючи з пошти, і завершіть усі активні сеанси.
4. 4Відкличте дозволи на токени в усіх постраждалих гаманцях, якими продовжуєте користуватися.
5. 5Зітріть дані й перевстановіть систему на зараженому комп’ютері або доручіть це фахівцю; видаляти інфостилери вручну ненадійно.
6. 6Повідомте про шкідливий сайт через інструмент безпечного перегляду вашого браузера та нам через нашу форму для повідомлень.

Підсумок

Фальшиві капчі та підроблені оновлення працюють, бо змушують вас самостійно запустити шкідливу програму. Жодна справжня перевірка не просить вставити команду, і жодному справжньому браузеру не потрібне завантаження з випадкової сторінки. Тримайте ключі подалі від повсякденних комп’ютерів, оновлюйтеся лише з офіційних джерел, а якщо ви все ж потрапили в пастку — дійте швидко з чистого пристрою.