Faux CAPTCHA Force les Utilisateurs à Exécuter des Logiciels Malveillants Déguisés en Texte de Vérification

Pages CAPTCHA trompeuses déployant des logiciels malveillants furtifs en exploitant Windows Run

Des analystes en cybersécurité du New Jersey ont signalé cette semaine un schéma de logiciels malveillants alarmant visant des employés du gouvernement via de faux défis CAPTCHA. Le Cellule d’intégration de la cybersécurité et des communications du New Jersey (NJCCIC) a révélé le 20 mars que les attaquants ont envoyé des emails aux travailleurs de l’État contenant des liens vers des sites web trompeurs ou compromis se faisant passer pour des vérifications de sécurité. Selon le NJCCIC :

Les emails contiennent des liens dirigeant les cibles vers des sites web malveillants ou compromis et incitant à des défis de vérification CAPTCHA trompeurs.

Ces défis ont été conçus pour tromper les utilisateurs en leur faisant exécuter des commandes dangereuses qui installaient secrètement l’infostealer SectopRAT.

La méthode était particulièrement sophistiquée, utilisant une astuce basée sur le presse-papiers pour cacher son intention. Les victimes qui cliquaient sur le lien étaient dirigées vers une fausse page CAPTCHA qui copiait automatiquement une commande. Le site web instruisait ensuite les utilisateurs à coller la commande dans la boîte de dialogue Exécuter de Windows dans le cadre d’une étape de vérification supposée. Bien que la dernière partie du texte collé ressemblait à un message standard—”Je ne suis pas un robot – ID de vérification reCAPTCHA : ####”—l’exécution de la commande lançait en réalité mshta.exe, un exécutable Windows légitime utilisé pour récupérer et exécuter des logiciels malveillants déguisés sous des types de fichiers courants.

Le NJCCIC a retracé la campagne jusqu’à des sites compromis qui utilisaient des outils largement adoptés : “Une analyse plus poussée a indiqué que les sites web compromis identifiés utilisaient des technologies telles que la plateforme CMS de WordPress et des bibliothèques JavaScript.”

L’enquête a également découvert un composant de la chaîne d’approvisionnement ciblant les sites web de concessionnaires automobiles via un service vidéo compromis. Les visiteurs infectés risquaient de télécharger le même voleur d’informations. Pendant ce temps, des chercheurs en cybersécurité ont documenté des opérations connexes distribuant d’autres types de logiciels malveillants :

Les chercheurs ont également découvert des campagnes similaires de logiciels malveillants via de faux CAPTCHA déployant les voleurs d’informations Lumma et Vidar ainsi que des rootkits furtifs. Les défis de vérification CAPTCHA légitimes valident l’identité d’un utilisateur et ne nécessitent pas que les utilisateurs copient et collent des commandes ou des sorties dans une boîte de dialogue Windows Run.

Les responsables ont conseillé aux administrateurs système de mettre à jour les logiciels, de renforcer les identifiants CMS et de signaler les incidents au Centre de plaintes pour crimes sur Internet du FBI et au NJCCIC.