CAPTCHA – SHORT PARA «TRAZA PÚBLICA PÚBLICA COMPLETAMENTE AUTOMADA PARA DISAR COMPUTADORES Y HUMANOS DE APARTIDAD» – Es una forma de verificación en línea que ayuda a distinguir a los usuarios humanos de los bots en las páginas de inicio de sesión, registro de cuentas y comprobación de comercio electrónico. Si puede identificar correctamente una serie de letras distorsionadas o todas las fotos que incluyen objetos como señales de parada para demostrar que no es un robot, puede interactuar con el sitio o la aplicación.
Pero el hecho de que las pruebas Captcha y Recaptcha sean ubicuas no significa que siempre sean inocuos. Los usuarios de Internet están acostumbrados a comprometerse con Captcha sin pensarlo mucho, por lo que, naturalmente, los cibercriminales han encontrado formas de falsificar estas pruebas para propagar malware.
Cómo los sitios web de captcha falsos entregan malware
Las estafas de CaptCha utilizan una táctica de ingeniería social conocida como ClickFix para engañar a los usuarios en la descarga e instalación de programas maliciosos que obtienen acceso remoto, registran las teclas de registro o roban datos de su dispositivo. Cuando se involucra con un captcha falso, permite que el sitio web malicioso copie un comando a su portapapeles y entregue una carga útil en el proceso.
Como describe MalwareBytes LabsEstos ataques de Captcha a menudo se inician cuando los usuarios intentan acceder al contenido popular, como películas, música o noticias, aunque los enlaces maliciosos también se pueden distribuir a través de correos electrónicos de phishing o malvertición. Aparece una ventana emergente de Captcha que le pide que confirme que no es un robot, después de lo cual se le envía a otra pantalla Captcha con pasos de verificación que incluyen una serie de pulsaciones de teclas. Si sigue las instrucciones, ejecutará un script PowerShell que descargue e instale el malware.
He cubierto algunas iteraciones de este esquema: en uno, los actores de amenaza Booking.com Para instalar una herramienta de acceso remoto en la puerta trasera (rata), dándoles el control remoto de las máquinas de las víctimas. En otro, Se aprovecharon los enlaces de invitación de discordia reutilizados para entregar infantes de infantes y keyloggers, comprometiendo las credenciales de los usuarios. ClickFix tiene También apareció en videos de Tiktok generados por AI que contiene instrucciones verbales para activar las funciones de software.
Si bien muchos ataques de clickFix tienen usuarios de Windows dirigidos, los investigadores han identificó recientemente una variación que usa Captcha falso para instalar MacOS Atomic MacOS en dispositivos Apple.
¿Qué piensas hasta ahora?
Cómo evitar una estafa de captcha
Si bien muchas indicaciones de verificación Captcha y Recaptcha son legítimas, cualquier cosa que incluya instrucciones, presionando una combinación de claves o ejecutar un comando Ejecutar en su dispositivo, con seguridad no lo es. Captchas de confianza no le dirigirá que descargue software o extensiones.
Tenga cuidado con los formularios de Captcha de fuentes y sitios que no conoce y confía, y nunca siga las instrucciones en estas ventanas emergentes sin pensar. Los atacantes están explotando la «fatiga de verificación», que hace que los usuarios hagan clic en algo tan rutinario como Captcha tan rápido que no se dan cuenta de las banderas rojas.
MalwareBytes Labs también recomienda Desactivar JavaScript en su navegadorque evita que los sitios web maliciosos accedan a su portapapeles. Si bien esto es útil para mejorar la seguridad y la privacidad en línea, también romperá algunas funciones en los sitios web que visita, lo que los hace esencialmente inutilizables. Podrías hacer esto solo cuando navegan por las páginas que no conoces o confías.
