Основные выводы
- CAPTCHA, которая просит вас открыть «Выполнить», PowerShell, Терминал, Командную строку, скачать файл, установить расширение или включить уведомления, — это фальшивая CAPTCHA.
- CAPTCHA должна удерживать вас в браузере. Если она просит использовать системный инструмент или что-то установить, закройте страницу
- Если вы скопировали и вставили команду, но не запускали ее, не нажимайте Enter и не выполняйте команду. Закройте все системные диалоговые окна и перезапишите буфер обмена, скопировав безобидный текст. Запустите сканирование безопасности. Проверьте загрузки и расширения браузера
- Если вы запустили команду, что-то установили или ввели учетные данные, отключитесь от интернета. Запустите сканирование безопасности. Измените пароли и включите многофакторную аутентификацию (MFA). Проверьте расширения браузера, загрузки, сохраненные пароли, активные сеансы, а также финансовые и криптовалютные счета. Сообщите в правоохранительные органы
- Фальшивые CAPTCHA работают, потому что мы привыкли к проверочным бокам при повседневном серфинге в интернете. Если что-то выглядит необычно, остановитесь и подумайте
Вы выполнили инструкции в фальшивой CAPTCHA? Перейдите к разделу «Что делать, если вы прошли фальшивую CAPTCHA».
Вы выполнили инструкции в фальшивой CAPTCHA? Перейдите к разделу «Что делать, если вы прошли фальшивую CAPTCHA».
Что такое мошенничество с фальшивой CAPTCHA?
CAPTCHA (полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей) является частью нашей онлайн-жизни уже более двух десятилетий.
Как следует из названия, это общий термин для любого теста, предназначенного для веб-сайтов, чтобы отличать людей (хороших) от ботов (плохих). Такие провайдеры, как Google reCAPTCHA, hCaptcha и Cloudflare Turnstile, решают эту задачу немного по-разному. Но обычно они требуют от пользователя выполнения задачи, которую машина выполнить не сможет, например, выбора определенных изображений по запросу или ввода искаженных букв. Некоторые продвинутые версии работают в фоновом режиме без участия пользователя.
К сожалению, киберпреступники это поняли. Они создали множество схем с фальшивыми CAPTCHA, призванных обманом заставить вас сделать то, о чем вы пожалеете. Поскольку мы все знакомы с CAPTCHA, мы с большей вероятностью будем следовать их инструкциям, не задумываясь. По крайней мере, в этом и заключается задумка.
Мошенники с фальшивой CAPTCHA могут потребовать от пользователя загрузить файл, установить расширение для браузера или включить уведомления браузера для завершения проверки. Оформление может выглядеть почти идентично настоящей CAPTCHA или reCAPTCHA. Риск исходит от дополнительных действий, требуемых от жертвы.
ClickFix — это популярный тип мошенничества с CAPTCHA или reCAPTCHA. Это целый класс методов социальной инженерии, которые обманом заставляют вас выполнять вредоносные команды. Обычно появляется фальшивая CAPTCHA или всплывающее окно с сообщением о том, что с вашим компьютером что-то не так и это нужно «исправить». Если вы нажмете на кнопку для запуска процесса, в ваш буфер обмена будет тайно скопирован вредоносный код. Затем вам будет предложено ввести ряд команд, которые открывают системный инструмент, такой как «Выполнить», PowerShell или «Терминал», и скопировать вредоносное ПО в этот инструмент перед выполнением.
В результате на ваше устройство устанавливается что-то неприятное, например, вредоносное ПО для кражи данных (infostealer) или троян удаленного доступа (RAT), предназначенный для предоставления злоумышленнику удаленного управления.
Как отличить настоящую CAPTCHA от фальшивой
Обычная CAPTCHA:
Вероятное мошенничество с CAPTCHA:
Флажок (например, «Я не робот»), ведущий к проверке.
Флажок, требующий дополнительных действий.
Запрос на выполнение короткой задачи: выберите изображения, содержащие похожие объекты; введите символы, отображаемые на искаженном изображении; выберите объекты в соответствии с инструкцией и т. д.
Запрос на открытие «Выполнить» / PowerShell / Терминала / Командной строки, вставку и выполнение команды.
Не требует от вас ничего устанавливать, включать или следовать последовательности комбинаций клавиш.
Запрос на установку расширения, включение уведомлений (например, нажать «разрешить») или выполнение инструкций с использованием нескольких клавиш.
Помните: легитимная CAPTCHA всегда удерживает вас в браузере. Если она просит вас использовать системный инструмент или что-то установить, закройте страницу. Это мошенничество с фальшивой CAPTCHA.
Помните: легитимная CAPTCHA всегда удерживает вас в браузере. Если она просит вас использовать системный инструмент или что-то установить, закройте страницу. Это мошенничество с фальшивой CAPTCHA.
Если вы столкнулись с подозрительным всплывающим окном CAPTCHA, выполните следующие быстрые проверки, чтобы решить, стоит ли продолжать:
- Внимательно проверьте URL-адрес, особенно доменное имя на предмет похожего написания. Это может указывать на вредоносный сайт, маскирующийся под легитимный.
- Убедитесь, что страница использует HTTPS. Это защитит от перехвата вашего соединения с сайтом, хотя и не гарантирует подлинность CAPTCHA.
- Убедитесь, что CAPTCHA встроена на страницу, а не открывается во всплывающем окне. Легитимные CAPTCHA обычно появляются как часть обычной страницы
- Наведите курсор на флажок или ссылку, чтобы проверить, куда она ведет. Это покажет, куда вас пытаются перенаправить. Если домен выглядит несвязанным или подозрительным, это явный тревожный сигнал.
Google reCAPTCHA
hCaptcha: скриншот
Cloudflare Turnstile
Помните: ни один из этих легитимных инструментов CAPTCHA не потребует от вас открывать «Выполнить»/PowerShell (Windows) или Терминал (Mac/Linux); копировать, вставлять и запускать команды и скрипты; скачивать файлы или предоставлять разрешения на уведомления. Все это указывает на то, что вы столкнулись с мошенничеством с фальшивой CAPTCHA или reCAPTCHA.
Как обнаружить мошенничество с фальшивой CAPTCHA?
Настоящие CAPTCHA обычно появляются на веб-странице естественным образом. Они могут включать простой флажок или предлагать выполнить простую задачу, например ввести появившиеся цифры и буквы или выбрать изображения. Мошеннические фальшивые CAPTCHA часто появляются в виде всплывающих окон и просят вас запустить команды на вашем устройстве, что-то установить или включить уведомления.
Что происходит при клике на фальшивую CAPTCHA?
Клика по флажку недостаточно для установки вредоносного ПО на ваше устройство. Но когда злоумышленник обманом заставляет вас запустить команды, риск существенно возрастает. Они используют сбой CAPTCHA для создания ощущения срочности, а затем представляют следующие шаги как решение проблемы. Но на самом деле вы невольно копируете вредоносное ПО в буфер обмена, а затем вставляете его в «Выполнить» / PowerShell / Терминал и выполняете.
Результатом может стать установка вредоносного ПО CAPTCHA, например:
- Программы для кражи данных, предназначенные для хищения ваших паролей, кодов MFA, финансовых данных, истории просмотров, данных криптовалютных кошельков и многого другого
- Трояны удаленного доступа (RAT), предназначенные для кражи ваших конфиденциальных данных и шпионажа за вашей активностью
- Программы-вымогатели, которые могут зашифровать ваше устройство до уплаты выкупа
- Майнеры криптовалюты, которые тайно добывают криптовалюту, перегружая ваше устройство
Конечным результатом вредоносного ПО CAPTCHA обычно является кража личных данных и финансовый ущерб.
Что делать, если вы прошли фальшивую CAPTCHA
Если вы случайно кликнули по фальшивой CAPTCHA, не паникуйте, вы все еще можете кое-что предпринять в зависимости от ситуации:
Я видел страницу или нажал на флажок, но ничего не копировал, не вставлял, не скачивал и не запускал
Закройте вкладку или окно браузера и не возвращайтесь на эту страницу. Очистите уведомления браузера или загрузки. Если было выдано разрешение на отправку уведомлений, выполните следующие действия, чтобы отозвать его:
Chrome
- Откройте Настройки → Конфиденциальность и безопасность → Настройки сайтов → Уведомления.
- Найдите подозрительный сайт в разделе Разрешить отправку уведомлений.
- Нажмите на три точки рядом с ним → Удалить (или Заблокировать).
Microsoft Edge
- Перейдите в Параметры → Конфиденциальность, поиск и службы → разрешения для сайтов → все разрешения → уведомления.
- В разделе Разрешить отправку уведомлений найдите сайт.
- Нажмите на три точки → Удалить или Заблокировать.
Хотя в данном случае риск невелик, в качестве меры предосторожности стоит запустить сканирование безопасности после выполнения описанных выше шагов.
Я скопировал или вставил команду, но не запускал ее
Если вы скопировали команду из фальшивой CAPTCHA в буфер обмена, не нажимайте Enter и не выполняйте ее. Закройте все системные диалоговые окна и очистите буфер обмена, скопировав безобидный текст. Запустите сканирование безопасности, чтобы убедиться в отсутствии вредоносного ПО на вашем устройстве. Также проверьте загрузки и расширения браузера.
Я выполнил команду, установил что-то или ввел учетные данные
Если вы выполнили команду из фальшивой CAPTCHA и обеспокоены мошенничеством ClickFix, выполните следующие действия:
- Отключите интернет, если что-то было запутано, выполнено или установлено
- Запустите полное сканирование безопасности
- Измените пароли от важных учетных записей с устройства, в безопасности которого вы уверены
- Включите многофакторную аутентификацию (MFA) для этих учетных записей
- Проверьте расширения браузера, загрузки, сохраненные пароли, активные сеансы, а также финансовые и криптовалютные счета
- Обратитесь в ИТ-отдел компании, если это рабочий вопрос
Сообщите об инциденте в reportfraud.ftc.gov (США) или FBI's IC3, если вы находитесь в США, особенно если были затронуты учетные данные или финансовые данные. Если вы находитесь в Европе, найдите местный орган власти здесь. В Великобритании обратитесь в NCSC или, если вы стали жертвой мошенничества, в Report Fraud. Если вы по-прежнему беспокоитесь о возможной вредоносной активности на вашем компьютере, обратитесь за профессиональной IT-поддержкой.
Блок с итогами: CAPTCHA всегда должна оставаться внутри браузера. Если вас просят использовать системный инструмент или что-то установить, и вы: Видели страницу или нажали на поле, но ничего не копировали, не вставляли, не загружали и не запускали, закройте вкладку/окно и не возвращайтесь. Очистите уведомления браузера или загрузки. Отозвали все предоставленные разрешения на уведомления. Скопировали/вставили команду, но не запустили ее, не нажимайте Enter и не выполняйте ее. Закройте все системные диалоговые окна и очистите буфер обмена, скопировав безобидный текст. Запустите сканирование безопасности. Проверьте загрузки и расширения браузера. Выполнили команду, установили что-то или ввели учетные данные, отключите интернет. Запустите сканирование безопасности. Измените пароли и включите MFA. Проверьте расширения браузера, загрузки, сохраненные пароли, активные сеансы, а также финансовые и криптовалютные счета. Сообщите в соответствующие органы.
Блок с итогами:
CAPTCHA всегда должна оставаться внутри браузера. Если вас просят использовать системный инструмент или что-то установить, и вы:
Видели страницу или нажали на поле, но ничего не копировали, не вставляли, не загружали и не запускали, закройте вкладку/окно и не возвращайтесь. Очистите уведомления браузера или загрузки. Отозвали все предоставленные разрешения на уведомления.
Скопировали/вставили команду, но не запустили ее, не нажимайте Enter и не выполняйте ее. Закройте все системные диалоговые окна и очистите буфер обмена, скопировав безобидный текст. Запустите сканирование безопасности. Проверьте загрузки и расширения браузера.
Выполнили команду, установили что-то или ввели учетные данные, отключите интернет. Запустите сканирование безопасности. Измените пароли и включите MFA. Проверьте расширения браузера, загрузки, сохраненные пароли, активные сеансы, а также финансовые и криптовалютные счета. Сообщите в соответствующие органы.
Как работает мошенничество с ClickFix и поддельными CAPTCHA
Мошенничество с фальшивыми CAPTCHA, включая ClickFix, обычно начинается, когда вы попадаете на вредоносную веб-страницу, перейдя по результатам поиска, рекламному объявлению или фишинговому письму. Кроме того, это может быть легитимный веб-сайт, скомпрометированный киберпреступниками.
Вам будет предложен запрос CAPTCHA, замаскированный под настоящий. Однако злоумышленники делают вид, что CAPTCHA не работает, пока вы не выполните необычное действие, например, не откроете системный инструмент и/или не выполните последовательность клавиш, а затем не вставите скопированную команду или не загрузите файл.
Смысл в том, что вас обманным путем заставляют установить вредоносное ПО или включить уведомления. Вы доверяете процессу прохождения CAPTCHA и хотите попасть на нужный сайт, поэтому дополнительные усилия кажутся вам оправданными. Это не так.
Ловушка с ИИ-помощником: когда «полезная» подсказка ведет к ClickFix
Фальшивая CAPTCHA — это лишь один из способов реализации атак ClickFix. Вы также можете столкнуться с фальшивым или скомпрометированным ИИ-инструментом, который выдает вредоносные инструкции для «устранения» несуществующей проблемы. Он может делать вид, что возникла проблема с вашей камерой, микрофоном, браузером, видео, документом или входом в систему.
Проблема выглядит правдоподобно. Вредоносный ИИ-помощник показывает, как ее «исправить». Его инструкции уводят вас из браузера и требуют выполнения команды, загрузки файла, установки расширения, предоставления разрешений или необычной последовательности клавиш.
По сути, это то же самое мошенничество, но с другой приманкой. Поэтому ваша реакция должна быть аналогичной. Инструменты на базе ИИ, как и CAPTCHA, не должны просить вас открывать диалоговое окно Выполнить/PowerShell (Windows) или Терминал (Mac/Linux); копировать, вставлять и запускать команды и сценарии; загружать файлы; или предоставлять разрешения на уведомления.
Как защитить себя от мошенничества с фальшивыми CAPTCHA
Если вы задаетесь вопросом, почему безобидная на вид CAPTCHA просит вас открыть Терминал или нажать Windows + R, это означает, что вы столкнулись с мошеннической проверкой CAPTCHA. Хорошая новость заключается в том, что несколько простых правил помогут защитить вас от подозрительных всплывающих окон CAPTCHA:
- Регулярно обновляйте операционную систему и браузер
- Используйте защитное ПО от проверенного поставщика
- Остерегайтесь неожиданных CAPTCHA
- Вводите URL-адреса вручную, вместо того чтобы кликать по ссылкам в электронных письмах или результатах поиска
- Избегайте запросов на разрешение («Разрешить») и используйте расширения браузера для блокировки вредоносных сайтов
Для дополнительного уровня защиты решения ESET HOME Security помогут оградить вас от вредоносных сайтов и ПО.
Мнение экспертов ESET
«Злоумышленники удваивают усилия там, где это приносит наилучшие результаты, и находят новые, более изощренные способы использования тех же базовых вредоносных тактик. Социальная инженерия и эксплуатация человеческой психологии остаются основными методами первичного проникновения, теперь в сочетании с доверенными сущностями и действиями: будь то популярный ИИ-инструмент, такой как Claude, или повседневный рабочий процесс, например вход в систему через страницу входа Microsoft. Учитывая гибкость и эффективность тактик в стиле ClickFix, злоумышленники, скорее всего, продолжат отслеживать тенденции аутентификации и адаптировать свои методы под поведение пользователей и развивающиеся платформы». — Ондржей Кубович (Ondrej Kubovič), специалист по информационной безопасности ESET
“Злоумышленники удваивают усилия там, где добиваются наибольшего успеха, и находят новые, более изощренные способы эксплуатации тех же самых базовых вредоносных тактик. Социальная инженерия и манипулирование человеческой психологией остаются основными методами первичного взлома, теперь в сочетании с доверенными сущностями и действиями: будь то популярный инструмент искусственного интеллекта, такой как Claude, или повседневный рабочий процесс, например вход через страницу входа Microsoft. Учитывая гибкость и эффективность тактик в стиле ClickFix, противники, вероятно, продолжат отслеживать тенденции аутентификации и адаптировать свои методы под поведение пользователей и развивающиеся платформы”.
- Ондрей Кубович, специалист ESET по вопросам информационной безопасности
Заключение
Мошенничество с фальшивыми CAPTCHA превращает привычные вещи в инструмент доставки вредоносного ПО и совершения мошеннических действий. Помните: легитимная CAPTCHA всегда должна оставаться в пределах браузера. Если вас просят использовать системный инструмент или что-то установить, закройте страницу. Если вы скопировали и вставили команду, не запускайте ее. И если вы все же выполнили инструкции, примите незамедлительные меры для минимизации последствий. Пока этот вид мошенничества работает, злоумышленники будут продолжать использовать его в своих кампаниях.
Часто задаваемые вопросы
Что произойдет, если нажать на фальшивую CAPTCHA?
Клик по фальшивой CAPTCHA сам по себе может не заразить вашу машину или устройство. Но он часто ведет к инструкциям, которые обманом заставляют вас запустить команду, скачать файл или включить уведомления. Эти действия могут установить вредоносное ПО, которое крадет пароли, файлы cookie или финансовую информацию.
Как обнаружить фальшивую CAPTCHA?
Настоящая CAPTCHA удерживает вас в браузере. Будьте подозрительны, если «CAPTCHA» просит вас открыть «Выполнить», PowerShell, Терминал, Командную строку, вставить и выполнить команду, скачать файл, установить расширение или включить уведомления. Проверьте URL сайта, на котором вы находитесь, на предмет потенциально опечатанного домена, так как это может указывать на поддельный сайт.
Какое приложение CAPTCHA настоящее, а какое поддельное?
Легитимные провайдеры CAPTCHA включают Google reCAPTCHA, hCaptcha и Cloudflare Turnstile. Они обычно работают в браузере и никогда не просят вас запускать системные команды или устанавливать программное обеспечение. Если «CAPTCHA» появляется в виде всплывающего окна, запрашивающего доступ к системе, она, скорее всего, поддельная.
Почему CAPTCHA просит меня открыть Терминал?
Это явный тревожный сигнал. Легитимные CAPTCHA не просят вас открывать Терминал, PowerShell или любые системные инструменты. Это уловка социальной инженерии, цель которой — заставить вас запустить вредоносную команду, способную заразить ваше устройство.
Почему CAPTCHA просит меня нажать Windows + R?
Легитимная CAPTCHA никогда не попросит вас нажать Windows + R или открыть диалоговое окно «Выполнить». Это метод, используемый мошенниками ClickFix, чтобы обманом заставить вас вставить и выполнить вредоносную команду. Немедленно закройте страницу и ничего не нажимайте.
Я нажал на фальшивую CAPTCHA, что мне теперь делать?
Сначала закройте страницу и не следуйте никаким инструкциям. Если вы только нажали на флажок без копирования/вставки или запуска команд, ваш риск невелик. Запустите сканирование безопасности, очистите загрузки/расширения браузера и будьте бдительны в отношении любого необычного поведения.
Я выполнил команду из CAPTCHA, что мне делать?
Немедленно отключитесь от интернета, запустите полную проверку безопасности и измените пароли с устройства, которое вы считаете безопасным. Включите многофакторную аутентификацию (MFA) для важных учетных записей и следите за ними на предмет необычной активности. Если устройство рабочее, обратитесь в ИТ-отдел.
В чем заключается новое мошенничество с CAPTCHA?
Это поддельный запрос на верификацию, который имитирует настоящую CAPTCHA, но подталкивает вас покинуть браузер — открыть «Выполнить», PowerShell или Терминал, вставить команду, скачать файл или предоставить разрешение. Базовая техника называется ClickFix. Правило остается прежним: настоящая CAPTCHA никогда не просит ничего запускать или устанавливать.
Как удалить вредоносное ПО от CAPTCHA?
Вредоносное ПО, доставленное таким образом, исходит не от самой CAPTCHA, а от команды, которую вы могли запустить, или файла, который вы могли скачать. Если вы что-то запустили, по возможности отключитесь от интернета. Затем запустите полную проверку безопасности с помощью своего защитного ПО, измените важные пароли с безопасного устройства и включите MFA. Обратитесь за экспертной помощью, если вы не уверены, чистя ли устройство.
Почему CAPTCHA просит меня нажать «Разрешить»?
Настоящая CAPTCHA может потребовать поставить галочку или пройти короткую проверку на странице, но она никогда не должна требовать включения уведомлений браузера. Запрос «Нажмите «Разрешить», чтобы доказать, что вы человек» является предупреждающим знаком. Отклоните разрешение и закройте страницу.
