Une nouvelle campagne de malware cible les utilisateurs de PC avec de faux CAPTCHA et des erreurs de navigateur

Kaspersky a détecté une nouvelle vague d’attaques dans le cadre d’une campagne malveillante diffusée via des publicités en ligne destinées aux utilisateurs de PC Windows. Le procédé est simple : en naviguant sur le web, des internautes ciblés cliquent sans le savoir sur une publicité qui masque tout l’écran et les redirige vers une fausse page CAPTCHA, ou vers un faux message d’erreur Chrome. les invitant à suivre les étapes pour télécharger un infostealer. Entre septembre et octobre 2024, la télémétrie de Kaspersky a enregistré plus de 140 000 occurrences de ces publicités invasives, et plus de 20 000 utilisateurs ont été redirigés vers des pages hébergeant des scripts malveillants. Il s’agit dans la plupart des cas d’internautes brésiliens, espagnols, italiens et russes. Pour se protéger, les experts recommandent aux utilisateurs de faire preuve de prudence et d’éviter de répondre aux demandes suspectes.

Un CAPTCHA est un dispositif de sécurité utilisé sur les sites Web et les applications pour vérifier si un utilisateur est humain ou s’il s’agit d’un programme automatisé ou d’un robot. Au cours de cette année, des rapports ont signalé que des acteurs malveillants distribuaient le voleur Lumma à l’aide de faux CAPTCHA, ciblant principalement les joueurs. En visitant les sites de jeux en ligne, ils sont incités à cliquer sur une publicité couvrant tout l’écran. Ils sont redirigés vers une fausse page CAPTCHA contenant des instructions pour télécharger le virus. Lorsqu’ils cliquent sur le bouton « Je ne suis pas un robot », le code Windows PowerShell est copié dans le presse-papiers de leur ordinateur. Des messages pédagogiques les invitent ensuite à coller le code dans la boîte à bornes et à appuyer sur Entrée, déclenchant le téléchargement et le lancement du virus Lumma.

Le malware recherche les fichiers, les cookies et les données du gestionnaire de mots de passe liés à la crypto-monnaie sur l’appareil de la victime. En visitant les pages web des différentes plateformes de commerce électronique, Lumma augmente leur nombre de vues, permettant aux attaquants de réaliser des gains financiers supplémentaires.

Un faux CAPTCHA contenant des instructions malveillantes

Face à ces nouvelles attaques, les chercheurs de Kaspersky ont identifié un autre scénario d’attaque dans lequel, au lieu d’un CAPTCHA, un message d’erreur s’affiche sur une page Web, conçu pour ressembler à un message de service du navigateur Chrome. Les attaquants demandent à leur victime de « copier le correctif » dans la fenêtre du terminal (le correctif étant la même commande PowerShell décrite ci-dessus).

Un faux message qui imite Google Chrome

Kaspersky a découvert une nouvelle vague d’attaques, ne ciblant pas seulement les joueurs, distribuées via des services de partage de fichiers, des applications Web, des portails de bookmakers, des pages de contenu pour adultes, des communautés d’animateurs et de nombreux autres canaux. Les attaquants utilisent également le cheval de Troie Amadey dans cette vague d’attaques. Comme Lumma, il vole les informations d’identification des navigateurs et des portefeuilles de crypto-monnaie populaires, mais il peut également prendre des captures d’écran, obtenir des informations d’identification pour les services d’accès à distance et télécharger un outil d’accès à distance sur l’appareil de la victime, permettant aux pirates d’obtenir un accès complet.

« Les attaquants ont acheté de l’espace publicitaire, et si un utilisateur voit cette publicité et clique dessus, il est redirigé vers des ressources malveillantes, une tactique couramment utilisée. Cette nouvelle vague implique un réseau de distribution considérablement élargi et l’introduction d’un nouveau scénario d’attaque qui touche davantage de victimes. Désormais, les internautes peuvent être détournés par une fausse question CAPTCHA ou un message d’erreur de la page web Chrome, et devenir victimes d’un voleur doté de nouvelles fonctionnalités. Les entreprises et les particuliers doivent faire preuve de prudence et d’esprit critique avant de suivre les messages suspects qu’ils voient en ligne », déclare Vasily Kolesnikov, expert en sécurité chez Kaspersky.