Attenzione ai falsi Captcha che installano un malware in grado di rubare dati sensibili e criptovalute

Gli esperti di Kaspersky hanno scoperto una nuova frode online, diffusa attraverso annunci web e rivolta agli utenti Windows. Durante la navigazione, gli utenti possono essere indotti a cliccare involontariamente su un annuncio che occupa l’intero schermo, reindirizzandoli a una falsa pagina Captcha o a un falso messaggio di errore del browser che li invita a seguire i passaggi per scaricare gli stealer.

Kaspersky ha registrato oltre 140.000 contatti con questi annunci dannosi nei mesi di settembre e ottobre 2024, e più di 20.000 utenti sono stati reindirizzati a pagine false che contenevano script dannosi. Si tratta prevalentemente di utenti provenienti da Brasile, Spagna, Italia e Russia. Gli esperti consigliano di essere prudenti e di evitare richieste di azione online sospette.

Un Captcha è una funzione di sicurezza utilizzata all’interno di siti web e app per verificare se si tratta di un utente reale, un programma automatico oppure un bot.

Già nei mesi scorsi erano stati segnalati attacchi che distribuivano lo stealer Lumma, utilizzando Captcha falsi, soprattutto per colpire i gamer. Navigando sui siti di gaming, gli utenti venivano indotti a cliccare un banner che copriva l’intero schermo per poi essere reindirizzati a una falsa pagina Captcha con un messaggio di istruzioni per scaricare lo stealer.

Una volta cliccato su “Non sono un robot”, un comando PowerShell criptato di Windows veniva copiato direttamente negli appunti del PC e successivamente veniva richiesto di incollarlo nella cartella del computer e premere invio, scaricando e avviando involontariamente Lumma. Nel frattempo, il malware cercava file relativi alle criptovalute, cookie, dati del password manager, ad altre informazioni sensibili della vittima. Inoltre, ha visitato le pagine web di varie piattaforme di e-commerce, aumentando così il numero di visualizzazioni e garantendo agli hacker un ulteriore guadagno economico.

In questa nuova ondata di attacchi, i ricercatori Kaspersky hanno identificato un altro schema dove, al posto di un Captcha, compare un messaggio di errore in una pagina web con uno stile simile quello dei messaggi di servizio di Chrome. Gli hacker invitano l’utente a “copiare la correzione” nella finestra del computer (si tratta dello stesso comando PowerShell descritto precedentemente).

Kaspersky ha scoperto che la nuova ondata di attacchi non prende di mira solo i gamer, ma anche altri soggetti, ed è distribuita attraverso servizi di file-sharing, applicazioni web, portali di bookmaker, pagine di contenuti per adulti, community di utenti appassionati di anime e altri canali. Gli aggressori utilizzano anche il Trojan Amadey che, come Lumma, ruba le credenziali dai browser più utilizzati e dai portafogli di criptovalute, ma può anche catturare screenshot, ottenere credenziali per i servizi di accesso da remoto ottenendo l’autorizzazione ad accedere al dispositivo della vittima.

“Gli hacker acquistano alcuni slot pubblicitari e se l’utente ci clicca sopra viene reindirizzato a risorse dannose. Questa campagna prevede una rete di distribuzione notevolmente amplificata e l’introduzione di un nuovo scenario di attacco che raggiunge un maggior numero di vittime. Ora gli utenti possono essere attirati da un falso Captcha o da un messaggio di errore di Google Chrome, diventando così vittime di uno stealer dotato di nuove funzionalità. Le aziende e gli utenti dovrebbero prestare attenzione e riflettere prima di eseguire qualsiasi richiesta sospetta che ricevono online”, ha affermato Vasily Kolesnikov, Security Expert di Kaspersky.

Per evitare le minacce relative agli stealer, tra i consigli forniti da Kaspersky vi sono quelli di verificare che le credenziali dei dispositivi o delle Web app della propria azienda non siano state compromesse dagli aggressori; utilizzare una soluzione di sicurezza dedicata con controllo di app e Web; migliorare l’alfabetizzazione digitale dei propri dipendenti per ridurre al minimo i rischi di cyber attacchi, utilizzando uno strumento online che offra una formazione informatica completa.

Fonte: Kaspersky