5400 zupełnie zwyczajnych stron pokazuje odwiedzającym fałszywą CAPTCHĘ

Strona należała do kwiaciarni, sklepu rowerowego albo małego producenta, którego znalazłeś przez wyszukiwarkę. Istnieje od lat. To nie jest podróbka. Po prostu ktoś się na nią włamał, a teraz pokazuje części odwiedzających okienko z prośbą o potwierdzenie, że są ludźmi.

Netskope opublikowało liczby 5 września: ponad 5400 przejętych witryn, głównie na WordPressie i PrestaShopie, z czego około 300 do 400 faktycznie serwuje ładunek danego dnia, przy szczycie 536 stron w ciągu jednej doby w sierpniu. Objęło to ponad 2200 organizacji. Najsprytniejsze jest to, gdzie mieszka złośliwy kod. Skrypt wstrzyknięty do każdej strony pobiera instrukcje z inteligentnego kontraktu w sieci testowej BNB Smart Chain, technika nazywa się EtherHiding. Nic to atakujących nie kosztuje, nie ma firmy hostingowej, do której można by się poskarżyć, a treść kontraktu może zmienić wyłącznie portfel, który go opublikował. Wystarczy przepisać ten jeden kontrakt, żeby wszystkie zhakowane strony zaczęły podawać coś innego.

Odwiedzający widzi znajomą procedurę: prośbę o weryfikację, która każe wcisnąć Windows i R, wkleić zawartość schowka i zatwierdzić. W zeszłym tygodniu pisaliśmy o odmianie tej samej sztuczki wykorzystującej Windows Terminal. Okienko się zmienia, żądanie nie. Żadne prawdziwe sprawdzenie, czy jesteś człowiekiem, nigdy nie wymagało uruchomienia polecenia i żadna uczciwa strona o to nie poprosi. Jeśli strona każe ci wkleić coś do Windows, żeby przejść dalej, zamknij kartę. Na tym polega cały atak.

Jeśli już to zrobiłeś i chcesz wiedzieć, co wylądowało na komputerze, kontrola bezpieczeństwa Tendvane pod kątem niechcianego oprogramowania wypisze, co zainstalowało się po cichu. To punkt wyjścia, a nie lekarstwo.