Trucul cu CAPTCHA falsă s-a mutat: acum cere Terminalul Windows
De doi ani, sfatul despre paginile CAPTCHA false se termină la fel: nimic legitim nu vă cere să apăsați Win+R și să lipiți ceva. Pe 28 august, Microsoft Threat Intelligence a publicat o analiză despre o variantă numită TerminalFix, care a mutat discret barele. Pagina arată în continuare o fereastră Cloudflare contrafăcută care vă cere să confirmați că sunteți om. Copiază în continuare o comandă în clipboard pe la spatele vostru. Doar că acum vă spune să deschideți Terminalul Windows sau PowerShell, pentru că, spune Microsoft, așa cresc șansele ca scripturile complexe, pe mai multe rânduri, să ruleze până la capăt.
Merită să știți ce urmează, măcar ca să apreciați efortul. Comanda lipită scrie rânduri liniștitoare despre pornirea verificării Cloudflare, în culori vesele, în timp ce descarcă o arhivă ZIP cu un fișier Windows autentic și semnat și, lângă el, o bibliotecă DLL malițioasă. Etapele următoare sosesc ascunse în pixelii unor imagini PNG luate de pe două domenii de unică folosință. Programul își planifică pornirea din oră în oră, se uită prin rețea, apoi deschide un tunel criptat înapoi către cel care l-a trimis. Microsoft nu a observat încă activitate manuală a atacatorilor, ceea ce înseamnă mai ales că ușa a rămas proptită deschisă și nimeni nu a trecut încă prin ea.
Lărgiți deci regula, în loc să o înlocuiți. Niciun pas de verificare, niciun mesaj de eroare, niciun player video și nicio pagină de descărcare nu are nevoie să deschideți vreun terminal ca să lipiți ceva acolo. Nici caseta Executare, nici PowerShell, nici Terminalul Windows. Dacă o pagină web vă dă instrucțiuni de tastatură, nu verifică dacă sunteți om, ci vă cere singura parte pe care nu o poate face singură. Am scris despre versiunea inițială a acestui truc în iunie, iar semnalul de alarmă nu s-a schimbat deloc.
Dacă ați lipit deja ceva și vă roade gândul, Tendvane nu vă poate spune ce a rulat: nu este antivirus și nu elimină programe malițioase. Ce arată verificarea de siguranță este tot ce s-a instalat pe drum, iar verificarea de confidențialitate și conturi enumeră ce conturi sunt conectate pe acel PC, exact ordinea în care merită să schimbați parolele.