Le faux CAPTCHA a changé d'adresse : il réclame maintenant le Terminal Windows
Depuis deux ans, les conseils sur les fausses pages CAPTCHA se terminent toujours de la même façon : rien de légitime ne vous demande d'appuyer sur Win+R et de coller quelque chose. Microsoft Threat Intelligence a publié le 28 août une analyse d'une variante baptisée TerminalFix, et elle a discrètement déplacé les limites. La page affiche toujours une fausse fenêtre Cloudflare qui vous demande de confirmer que vous êtes humain. Elle copie toujours une commande dans votre presse-papiers à votre insu. Mais elle vous demande désormais d'ouvrir le Terminal Windows ou PowerShell, parce que, selon Microsoft, cela augmente la probabilité que des scripts complexes sur plusieurs lignes s'exécutent correctement.
La suite mérite d'être connue, ne serait-ce que pour mesurer le travail fourni. La commande collée affiche de rassurantes lignes sur le démarrage de la vérification Cloudflare, en couleurs vives, pendant qu'elle télécharge une archive ZIP contenant un vrai fichier Windows signé et une DLL malveillante posée juste à côté. Les étapes suivantes arrivent cachées dans les pixels d'images PNG récupérées sur deux domaines jetables. Le programme se planifie pour s'exécuter toutes les heures, inspecte le réseau, puis ouvre un tunnel chiffré vers celui qui l'a envoyé. Microsoft n'a pas encore observé d'intervention humaine directe, ce qui signifie surtout que la porte a été laissée ouverte et que personne ne l'a encore franchie.
Il faut donc élargir la règle plutôt que la remplacer. Aucune étape de vérification, aucun message d'erreur, aucun lecteur vidéo ni aucune page de téléchargement n'a besoin que vous ouvriez un terminal, quel qu'il soit, pour y coller quelque chose. Ni la boîte Exécuter, ni PowerShell, ni le Terminal Windows. Si une page web vous donne des instructions au clavier, elle ne vérifie pas que vous êtes humain : elle vous demande de faire la seule partie qu'elle ne peut pas faire elle-même. Nous avions décrit la version d'origine de cette astuce en juin, et le signal d'alarme n'a pas bougé d'un pouce.
Si vous avez déjà collé quelque chose et que cela vous inquiète, Tendvane ne peut pas vous dire ce qui s'est exécuté : ce n'est pas un antivirus et il ne supprime pas les logiciels malveillants. En revanche, sa Vérification de sécurité montre tout ce qui s'est installé au passage, et la vérification Confidentialité et comptes indique quels comptes sont connectés sur ce PC, ce qui vous donne l'ordre dans lequel changer vos mots de passe.