Gefälschte CAPTCHAs werden eingesetzt, um Sie dazu zu bringen, sich selbst zu hacken

Das ukrainische Computer-Notfallteam (CERT-UA) hat davor gewarnt, dass russische Hacker gefälschte CAPTCHA-Abfragen nutzen, um Nutzer dazu zu verleiten, ihre eigenen PCs zu kompromittieren.

Berichten zufolge setzt die vom Kreml unterstützte Hackergruppe „Sandworm“ auf kompromittierten Websites gefälschte CAPTCHAs ein. Diese bewegen Nutzer dazu, einen PowerShell-Befehl auf ihrem Computer auszuführen, wodurch sie unwissentlich Schadcode starten.

CERT-UA schreibt diese Angriffe – die im Frühjahr und Sommer verstärkt gegen ukrainische Ziele gerichtet waren – der Gruppe UAC-0145 zu. Dabei handelt es sich um einen Ableger von Sandworm, jener Hackereinheit, die für einige der zerstörerischsten Cyberangriffe Russlands der letzten zehn Jahre verantwortlich ist, darunter Angriffe auf das ukrainische Stromnetz.

Die jüngsten Angriffe beginnen, wenn ein Nutzer eine kompromittierte Webseite besucht. Dort wird er mit einem gefälschten CAPTCHA konfrontiert, das vorgibt, ein zusätzlicher Schritt sei erforderlich, um die menschliche Identität zu bestätigen.

Doch anders als bei herkömmlichen CAPTCHAs geht es hier nicht darum, Ampeln zu erkennen oder ein Kästchen anzukreuzen. Stattdessen fordert das gefälschte CAPTCHA den Nutzer auf, einen PowerShell-Befehl zu kopieren und auf seinem Windows-Computer einzufügen.

Natürlich ist die Aufforderung nicht ganz so direkt formuliert.

Die Anweisungen fordern den Nutzer auf, eine Tastenkombination zu drücken, die den Windows-Dialog „Ausführen“ öffnet, den Inhalt der Zwischenablage einfügt und die Eingabetaste (Enter) betätigt – all dies geschieht, ohne dass das Opfer bemerkt, was es gerade ausgelöst hat.

Denn der ausgeführte Code könnte:

• Schadsoftware herunterladen,
• PowerShell-Skripte ausführen
• oder Fernzugriffssoftware auf dem Rechner installieren.

Ein echtes CAPTCHA wird Sie niemals auffordern:

• die Tasten Windows + R zu drücken,
• den Dialog „Ausführen“ zu öffnen,
• einen Befehl einzufügen
• oder die Eingabetaste zu drücken, um zu „bestätigen, dass Sie ein Mensch sind“.

Der auf den Zielrechnern ausgeführte Code startet ein Aufklärungstool namens „ScoutCurl“, das Informationen über den infizierten Computer sammelt. Dazu gehören Details zur Systemkonfiguration, zur installierten Software, zu vorhandenen Dateien sowie Browserdaten. All diese Informationen helfen den Angreifern zu beurteilen, ob sich eine weitere Kompromittierung des Ziels lohnt.

Schätzungen zufolge wurden seit Anfang Juni mindestens zehn Websites im Rahmen dieser Kampagne kompromittiert.

Solche „ClickFix“-Angriffe sind nicht neu; wir haben in der Vergangenheit bereits mehrfach über diese Bedrohung berichtet.

Die unangenehme Wahrheit ist, dass ClickFix-Angriffe weiterhin stattfinden, weil Cyberkriminelle festgestellt haben, dass sie äußerst effektiv sind. Dies liegt unter anderem daran, dass sie nicht darauf angewiesen sind, Nutzer durch Täuschung zum Anklicken schädlicher Links zu bewegen; stattdessen leiten sie das Opfer dazu an, den eigenen Computer selbst zu infizieren.

Zudem werden die Anweisungen als „hilfreiche“ technische Ratschläge zur Problemlösung präsentiert, denen unbedarfte Nutzer allzu leicht vertrauen. Darüber hinaus machen sie sich die weite Verbreitung legitimer Werkzeuge wie PowerShell zunutze, die in vielen Unternehmensumgebungen als vertrauenswürdig gelten.

ClickFix-Angriffe stellen nicht nur für die Menschen in der Ukraine ein Problem dar, die sich inmitten eines langwierigen kinetischen Krieges bereits einer unaufhörlichen Welle von Cyberangriffen russischer Hacker gegenübersehen. Sie sind ein Problem für Computernutzer weltweit.

Daher sollten alle Computernutzer die Warnung der Ukraine vor der Zunahme von ClickFix-Angriffen als rechtzeitige Erinnerung daran verstehen, dass die gefährlichsten Bedrohungen oft nicht in Form der Ausnutzung einer Zero-Day-Schwachstelle auftreten.