Трюк із фальшивою CAPTCHA переїхав: тепер він просить Термінал Windows
Уже два роки поради щодо фальшивих сторінок CAPTCHA закінчуються однаково: жоден чесний сайт не просить натиснути Win+R і щось вставити. 28 серпня підрозділ Microsoft Threat Intelligence опублікував дослідження про різновид під назвою TerminalFix, який тихо зсунув межі. Сторінка так само показує підроблене вікно Cloudflare із проханням підтвердити, що ви людина. Вона так само непомітно копіює команду до буфера обміну. Але тепер вам радять відкрити Термінал Windows або PowerShell, бо, як пише Microsoft, так зростає ймовірність, що складні багаторядкові сценарії виконаються успішно.
Те, що відбувається далі, варто знати бодай для того, щоб оцінити вкладену роботу. Вставлена команда виводить заспокійливі рядки про початок перевірки Cloudflare у веселих кольорах, поки завантажує архів ZIP зі справжнім підписаним файлом Windows і покладеною поруч шкідливою бібліотекою DLL. Наступні етапи прибувають схованими в пікселях зображень PNG, які завантажуються з двох одноразових доменів. Програма планує собі запуск щогодини, роззирається мережею, а потім відкриває зашифрований тунель назад до того, хто її надіслав. Прямої роботи зловмисників Microsoft ще не бачила, а це насамперед означає, що двері підперли, але ніхто крізь них іще не пройшов.
Тож розширте правило, а не замінюйте його. Жоден крок перевірки, жодне повідомлення про помилку, жоден відеоплеєр і жодна сторінка завантаження не потребує, щоб ви відкривали будь-який термінал і щось туди вставляли. Ні вікно Виконати, ні PowerShell, ні Термінал Windows. Якщо вебсторінка дає вам вказівки для клавіатури, вона не перевіряє, чи ви людина, а просить зробити ту єдину частину, якої не може зробити сама. Ми описували початкову версію цього трюку в червні, і ознака не змінилася ні на йоту.
Якщо ви вже щось вставили і вам від цього неспокійно, Tendvane не скаже вам, що саме запустилося: це не антивірус і він не видаляє шкідливі програми. Зате його перевірка безпеки показує все, що встановилося дорогою, а перевірка приватності та облікових записів перелічує, які записи ввійшли на цьому ПК. Саме в такому порядку варто змінювати паролі.