Sztuczka z fałszywym CAPTCHA zmieniła adres: teraz prosi o Terminal Windows

Od dwóch lat rada dotycząca fałszywych stron CAPTCHA kończy się tak samo: nic uczciwego nie prosi, żebyś nacisnął Win+R i coś wkleił. Microsoft Threat Intelligence opublikował 28 sierpnia analizę odmiany nazwanej TerminalFix, która po cichu przesunęła granice. Strona nadal pokazuje podrobione okienko Cloudflare z prośbą o potwierdzenie, że jesteś człowiekiem. Nadal kopiuje polecenie do schowka za twoimi plecami. Tyle że teraz każe otworzyć Terminal Windows albo PowerShell, ponieważ, jak pisze Microsoft, zwiększa to szansę, że złożone, wielowierszowe skrypty wykonają się poprawnie.

Warto wiedzieć, co dzieje się dalej, choćby po to, żeby docenić włożoną pracę. Wklejone polecenie wypisuje uspokajające komunikaty o rozpoczęciu weryfikacji Cloudflare w wesołych kolorach, a w tle pobiera archiwum ZIP z prawdziwym, podpisanym plikiem Windows i leżącą obok złośliwą biblioteką DLL. Kolejne etapy przychodzą ukryte w pikselach obrazów PNG pobieranych z dwóch jednorazowych domen. Program planuje sobie uruchamianie co godzinę, rozgląda się po sieci, a potem otwiera zaszyfrowany tunel z powrotem do tego, kto go wysłał. Microsoft nie zaobserwował jeszcze ręcznego działania napastników, co znaczy głównie tyle, że drzwi zostały podparte, a nikt przez nie jeszcze nie wszedł.

Rozszerz więc zasadę, zamiast ją wymieniać. Żaden krok weryfikacji, żaden komunikat o błędzie, żaden odtwarzacz wideo ani żadna strona pobierania nie potrzebuje, żebyś otwierał jakikolwiek terminal i coś do niego wklejał. Ani okna Uruchom, ani PowerShella, ani Terminala Windows. Jeśli strona internetowa daje ci instrukcje z klawiatury, nie sprawdza, czy jesteś człowiekiem, tylko prosi cię o tę jedną rzecz, której sama nie potrafi zrobić. Opisaliśmy pierwotną wersję tej sztuczki w czerwcu i sygnał ostrzegawczy nie zmienił się ani trochę.

Jeśli już coś wkleiłeś i czujesz się z tym niepewnie, Tendvane nie powie ci, co się uruchomiło. To nie jest antywirus i nie usuwa złośliwego oprogramowania. Kontrola bezpieczeństwa pokaże jednak wszystko, co zainstalowało się przy okazji, a kontrola prywatności i kont wypisze, które konta są zalogowane na tym komputerze, i to jest kolejność, w jakiej warto zmieniać hasła.