5400 цілком звичайних сайтів показують відвідувачам фальшиву CAPTCHA

Це був сайт квіткової крамниці, веломагазину або невеликого виробника, якого ви знайшли через пошук. Він існує роками. Це не підробка. Його просто зламали, і тепер частині відвідувачів він показує віконце з проханням підтвердити, що вони люди.

Netskope оприлюднила цифри 5 вересня: понад 5400 скомпрометованих сайтів, здебільшого на WordPress і PrestaShop, з яких приблизно 300 до 400 реально роздають навантаження в конкретний день, а пік становив 536 сайтів за одну добу в серпні. Зачепило понад 2200 організацій. Найхитріше тут те, де живе шкідливий код. Скрипт, вставлений у кожен сайт, забирає інструкції зі смартконтракту в тестовій мережі BNB Smart Chain, і ця техніка називається EtherHiding. Зловмисникам це не коштує нічого, немає хостингу, якому можна поскаржитися, а змінити вміст контракту може лише той гаманець, який його опублікував. Достатньо переписати один контракт, і всі зламані сайти починають роздавати щось нове.

Відвідувач бачить знайому послідовність: запит на перевірку, який просить натиснути Windows і R, вставити вміст буфера обміну й підтвердити. Минулого тижня ми писали про різновид того самого трюку через Windows Terminal. Віконце змінюється, вимога ні. Жодна справжня перевірка на людяність ніколи не потребувала, щоб ви виконали команду, і жоден нормальний сайт про це не попросить. Якщо сторінка каже вставити щось у Windows, щоб продовжити, закрийте вкладку. У цьому й полягає вся атака.

Якщо ви вже це зробили й хочете знати, що саме приземлилося, перевірка безпеки Tendvane на небажані програми покаже, що встановилося непомітно. Це відправна точка, а не ліки.