Windows istifadəçilərinə qarşı saxta CAPTCHA əsaslı yeni hücum kampaniyası aşkar edilib

Mütəxəssislər Windows istifadəçilərini hədəf alan yeni sosial mühəndislik kampaniyası barədə xəbərdarlıq ediblər. Məlumata görə, hücumçular “I’m not a robot” (CAPTCHA) yoxlamasına bənzədilən saxta təsdiqləmə səhifələrindən istifadə etməklə istifadəçiləri zərərli PowerShell əmrlərini manual icra etməyə yönləndirir və nəticədə “StealC” adlı zərərli proqramın yoluxmasına şərait yaradır.

Tədqiqatçılar bildirirlər ki, kampaniya əsasən əvvəllər legitim olan, lakin sonradan ələ keçirilmiş veb-saytlar üzərindən həyata keçirilir. Hücumçular həmin saytlara zərərli JavaScript kodu yerləşdirərək istifadəçilərin qarşısına Cloudflare tipli təhlükəsizlik yoxlamasını xatırladan saxta CAPTCHA interfeysi çıxarırlar. Bu səhifə ənənəvi vizual testlər təqdim etmək əvəzinə təsdiqləmə adı altında istifadəçidən Windows + R kombinasiyası ilə “Run” dialoq pəncərəsini açmağı, ardınca Ctrl + V ilə mətn yapışdırmağı və Enter düyməsini klikləməyi tələb edir.

Bu yanaşma “ClickFix” kimi tanınır və Windows istifadəçilərinin sadə klaviatura göstərişlərinə etibar etməsindən sui-istifadə edir. Belə ki, hücumçular zərərli PowerShell əmrini əvvəlcədən mübadilə buferinə (clipboard) yerləşdirir. İstifadəçi həmin əmri “Run” dialoq pəncərəsinə yapışdırdıqdan sonra kod dərhal icra olunur, uzaq serverlə bağlantı qurulur və növbəti mərhələdə yükləyici (downloader) komponenti vasitəsilə StealC zərərli proqramı sistemə endirilərək işə salınır. Ekspertlər qeyd edirlər ki, bu üsul brauzer üzərindən klassik yükləmə xəbərdarlıqlarını və bəzi standart müdafiə mexanizmlərini yan keçməyə kömək edə bilər.

Məlumata əsasən, StealC brauzer giriş məlumatlarını, kriptovalyuta cüzdanlarını, Steam hesablarını, Outlook etimadnamələrini, sistem haqqında məlumatları və ekran görüntülərini toplayaraq idarəetmə və nəzarət (C2) serverinə ötürür. Bildirilir ki, məlumatların ötürülməsi RC4 ilə şifrələnmiş HTTP trafiki vasitəsilə həyata keçirilir.

CAPTCHA mexanizmi insan və botu ayırd etmək üçün nəzərdə tutulsa da, kibercinayətkarlar istifadəçilərin təhlükəsizlik yoxlamalarına olan etimadından sui-istifadə edərək bu prosesi hücum vektoruna çevirə bilirlər.

Mütəxəssislər istifadəçilərə şübhəli CAPTCHA səhifələrinə qarşı diqqətli olmağı, veb-saytların təsdiqləmə adı altında tələb etdiyi naməlum əmrləri icra etməməyi, xüsusilə “Run” dialoq pəncərəsi vasitəsilə hər hansı əmri işə salmamağı tövsiyə edirlər. Təşkilatlar üçün isə skript icrasının məhdudlaşdırılması, Windows mühitində tətbiq nəzarət mexanizmlərinin gücləndirilməsi və çıxan şəbəkə trafikinə nəzarətin artırılması kimi tədbirlərin risklərin azaldılmasına kömək edə biləcəyi vurğulanır.