De faux CAPTCHA sont utilisés pour vous amener à vous pirater vous-même

Le CERT-UA (l'équipe d'intervention d'urgence informatique de l'Ukraine) a averti que des pirates informatiques russes utilisent de faux tests CAPTCHA pour inciter les utilisateurs à compromettre eux-mêmes leurs ordinateurs.

Le groupe de pirates Sandworm, soutenu par le Kremlin, exploiterait de faux tests CAPTCHA sur des sites web compromis pour persuader les utilisateurs d'exécuter une commande PowerShell sur leur ordinateur, les amenant ainsi à lancer du code malveillant.

Le CERT-UA a attribué ces attaques — qui se sont multipliées ce printemps et cet été contre des cibles ukrainiennes — au groupe UAC-0145. Il s'agit d'une émanation de Sandworm, l'unité de piratage responsable de certaines des cyberattaques russes les plus destructrices de la dernière décennie, notamment celles visant le réseau électrique ukrainien.

Ces attaques débutent lorsqu'un utilisateur consulte une page web compromise et se retrouve face à un faux CAPTCHA lui demandant d'effectuer une étape supplémentaire pour prouver qu'il est bien un humain.

Cependant, contrairement aux CAPTCHA classiques, il ne s'agit pas d'identifier des feux de signalisation ou de cocher une case. Au lieu de cela, le faux CAPTCHA invite l'utilisateur à copier-coller une commande PowerShell sur son ordinateur Windows.

Bien entendu, la formulation n'est pas aussi explicite.

Les instructions demandent à l'utilisateur d'appuyer sur une combinaison de touches pour ouvrir la boîte de dialogue « Exécuter » de Windows, coller le contenu du presse-papiers et appuyer sur Entrée, le tout sans que la victime ne réalise ce qu'elle vient de déclencher.

Car l'action qu'elle vient d'exécuter pourrait :

• télécharger un logiciel malveillant ;
• exécuter des scripts PowerShell ;
• ou installer un logiciel d'accès à distance sur la machine.

Un véritable CAPTCHA ne vous demandera jamais de :

• appuyer sur les touches Windows + R ;
• ouvrir la boîte de dialogue « Exécuter » ;
• coller une commande ;
• ou appuyer sur Entrée pour « vérifier que vous êtes un humain ».

Le code téléchargé et exécuté sur les ordinateurs ciblés lance un outil de reconnaissance baptisé ScoutCurl, qui collecte des informations sur la machine infectée. Ces données incluent la configuration du système, les logiciels installés, les fichiers présents et les informations du navigateur ; autant d'éléments qui aident les attaquants à déterminer si la cible mérite une compromission plus poussée.

On estime qu'au moins dix sites web ont été compromis dans le cadre de cette campagne depuis le début du mois de juin.

Les attaques de type « ClickFix » ne sont pas nouvelles ; nous avons déjà évoqué cette menace à maintes reprises dans de précédents articles.

La réalité, bien que préoccupante, est que les attaques ClickFix perdurent car les cybercriminels ont constaté leur grande efficacité. Cela s'explique en partie par le fait qu'ils ne reposent pas sur la ruse pour inciter les utilisateurs à cliquer sur des liens malveillants, mais qu'ils amènent plutôt la victime à infecter elle-même son propre ordinateur.

De plus, les instructions sont présentées comme des conseils techniques « utiles » pour résoudre un problème ; les utilisateurs imprudents peuvent donc trop facilement leur faire confiance. Par ailleurs, ces attaques tirent parti de la présence généralisée d'outils légitimes tels que PowerShell, auxquels de nombreuses entreprises accordent leur confiance.

Les attaques de type « ClickFix » ne concernent pas uniquement la population ukrainienne, déjà confrontée à une vague incessante de cyberattaques menées par des pirates russes dans le contexte d'un conflit cinétique qui perdure. Elles constituent une menace pour les utilisateurs d'ordinateurs du monde entier.

Par conséquent, tous les utilisateurs devraient considérer l'avertissement de l'Ukraine concernant la recrudescence des attaques ClickFix comme un rappel opportun : les menaces les plus dangereuses ne prennent pas toujours la forme de l'exploitation d'une vulnérabilité « zero-day ».