Стандартна перевірка «Я не робот» (CAPTCHA) від надійних сервісів є безпечною технологією для захисту вебсайтів від спам-ботів. Однак зловмисники почали маскувати під неї небезпечні атаки з використанням методу соціальної інженерії, відомого як ClickFix.
Як працює схема атаки?
- Компрометація сайтів: зловмисники впроваджують шкідливий JavaScript-код на легітимні, але зламані вебресурси;
- Фейкове вікно: під час відвідування такого сайту користувачеві демонструють підроблену сторінку перевірки (наприклад, стилізовану під Cloudflare);
- Маніпуляція (ClickFix): під приводом підтвердження «Я не робот» відвідувача просять виконати «автоматичну верифікацію» - натиснути комбінацію клавіш Win + R, вставити скопійований у буфер обміну текст та натиснути Enter;
- Цілеспрямованість: атака орієнтована виключно на користувачів
ОС Windows, які переходять на уражені сайти через пошукові системи (Google, DuckDuckGo, meta.ua, bigmir.net тощо). Щоб уникнути зайвої уваги, шкідлива сторінка показується одному користувачу не частіше ніж два рази на 12 годин;
- Зараження: виконуючи цю команду в системному вікні «Виконати»
(або через PowerShell/командний рядок), жертва власноруч запускає шкідливий скрипт. Він завантажує вірус (зокрема троян LUNEXSTEALER, який маскується під системні файли);
- Наслідки: вірус непомітно інсталює у браузер шкідливе розширення під виглядом легітимного інструменту («Microsoft Office Word Editor»). Воно викрадає логіни, паролі, історію відвідувань і відкриває хакерам віддалений доступ до комп’ютера.
Основні загрози фальшивих перевірок
- Підписка на push-сповіщення (спам і реклама): клік на кнопку «Дозволити» у спливаючому вікні дозволяє сайту надсилати браузерні сповіщення. Як наслідок - екран засипається нав'язливою рекламою, фейковими попередженнями про віруси чи посиланнями на шахрайські ресурси;
- Приховане встановлення вірусів: виконання команд через комбінацію Win + R призводить до завантаження троянів, програм-вимагачів або шпигунського ПЗ безпосередньо в систему;
- Фішинг і крадіжка даних: вимагання ввести особисті дані (номер телефону, пошту) або проходження фальшивих «капч», які ведуть на підроблені форми входу до соцмереж чи онлайн-банкінгу.
Що робити, якщо ви вже стали жертвою атаки?
- Якщо ви підписалися на сповіщення:
- зайдіть у налаштування браузера (наприклад, Chrome) -> Конфіденційність та безпека -> Налаштування сайтів -> Сповіщення;
- знайдіть підозрілий ресурс у списку та оберіть «Видалити» або «Блокувати»;
- Якщо ви виконували невідомі команди на ПК: негайно запустіть повне сканування системи за допомогою надійного антивіруса (вбудованого Windows Defender або перевіреного стороннього ПЗ, наприклад Malwarebytes).
Золоте правило безпеки
Жодна справжня перевірка «Я не робот» чи CAPTCHA ніколи не вимагає натискати Win + R, відкривати командний рядок, PowerShell чи виконувати будь-які системні команди. Якщо бачите таку вимогу - негайно закривайте вкладку сайту, навіть якщо це добре знайомий вам ресурс.
Рекомендації для системних адміністраторів
- Заборонити звичайним користувачам доступ до вікна «Виконати» (Win + R) за допомогою групових політик (Group Policy);
- Обмежити встановлення MSI-пакетів для користувачів без прав адміністратора та моніторити запуск процесу msiexec.exe із зазначенням URL-адрес у командному рядку;
- Активувати блокування вразливих драйверів у системі (Microsoft Vulnerable Driver Blocklist);
- Обмежити встановлення браузерних розширень виключно дозволеним списком (whitelist).
