トロイの木馬:JS/FakeCaptcha – 取り外しガイド [働く]

トロイの木馬:JS/FakeCaptchaは、現在活動中のソーシャルエンジニアリングの脅威の中でも特に高度なものの1つです。, エクスプロイトを必要としないため, ソフトウェアの脆弱性なし, ドライブバイダウンロードなしで成功 – これは単にユーザーを騙して自分で作業をさせるだけです. この検出に関してMicrosoft Defenderの警告が表示された場合, または、キーボードショートカットを押して何かを貼り付けるように求められるCAPTCHAスタイルのページを操作したことを覚えているなら, システムが侵害されている可能性があるとみなし、以下の完全な削除手順に従うことが非常に重要です。. 一見すると通常のボットチェックに見えたものが、深刻な感染の侵入経路だった可能性がある。.

トロイの木馬:JS/FakeCaptcha は、セキュリティ研究者が「 “クリックフィックス” または偽のCAPTCHAによるソーシャルエンジニアリング攻撃. Microsoft Security Intelligenceに記載されているとおり, この手法では、標準的なCAPTCHA認証フォームのように見えるページをユーザーに表示します。, しかし、画像を識別するように求める代わりに, Windowsの「ファイル名を指定して実行」ダイアログを開くように指示します。 (勝つ + R), ページのJavaScriptによってクリップボードに暗黙的に読み込まれたコマンドを貼り付けます。, Enterキーを押します. このコマンドは通常、マルウェアをダウンロードして実行するPowerShellまたはmshta命令です。 – そして、その全プロセスはユーザー自身によって完了される。, 自動防御システムを回避する.

どうやってトロイの木馬に感染したのか:JS/FakeCaptcha?

FakeCaptcha攻撃は複数の配信チャネルを通じてユーザーに届く。, すべてはユーザーが悪意のあるJavaScriptを含むページにアクセスしたかどうかにかかっている。:

• 侵害された正規ウェブサイト – セキュリティ上の脆弱性があり、攻撃者によって偽のCAPTCHA JavaScriptがページに挿入されたウェブサイト, つまり、ごく普通のサイトを訪れたユーザーが、突然偽の認証プロンプトを目にする可能性があるということだ。.
• 悪質な広告ネットワーク – 特定のソースからアクセスした訪問者、または特定のプロファイリング基準を満たした訪問者に対して、ブラウザのトラフィックをFakeCaptchaスクリプトをホストするページにリダイレクトする広告コンテンツ.
• SEO中毒 – 一般的な検索クエリの検索結果で上位表示されるように最適化された偽ページ, 一見正当な検索結果に見えるものをクリックした際に、ユーザーを偽のCAPTCHAをホストするページに誘導する。.
• フィッシングメール リンク先のコンテンツを閲覧するための前提条件として偽のCAPTCHA認証を表示するページへのリンク – 請求書, 文書, 共有ファイル, またはメディアアイテム.
• ソーシャルメディアとフォーラムへのリンク 外部リンクをクリックする意欲のあるユーザーを引き付けるトピックのコミュニティで共有される – ゲームフォーラム, ソフトウェア海賊版コミュニティ, 成人向けコンテンツプラットフォームはすべて、流通経路として記録されている。.

トロイの木馬とは:JS/FakeCaptcha Do?

攻撃の手順とその結果には一貫したパターンがある:

• 本物そっくりの偽の認証ページを表示する – JavaScriptは、主要プラットフォームで使用されている正規のCAPTCHAインターフェースと視覚的に類似したページを生成します。, 手続きを進めるには人間による認証が必要だと主張する. 信頼性を高めるために、デザインは特定の有名なCAPTCHAプロバイダーを模倣している可能性があります。.
• 悪意のあるコマンドを密かにクリップボードに読み込む – ユーザーが偽の指示書を読んでいる間, JavaScript はクリップボード API を使用して、現在のクリップボードの内容を PowerShell に置き換えます, ムシュタ, または、実行するとマルウェアをダウンロードして実行するコマンド.
• クリップボードの内容を貼り付けて実行するようにユーザーに指示します。 – 偽の指示書には、通常こう書かれている。 “WindowsキーとRキーを同時に押してください。, 認証コードを以下に貼り付けてください, Enterキーを押します” また “オープンラン, 認証を完了するには、コードを入力してください。” ユーザーは騙されてコマンドプロンプトまたはPowerShellを開き、攻撃者のコマンドを自分で実行してしまう。.
• ダウンローダーペイロードを実行します – 貼り付けられたコマンドはリモートサーバーに接続し、追加のマルウェアをシステムにダウンロードします。, これには、ブラウザの認証情報や暗号通貨ウォレットを標的とする情報窃盗犯が含まれる可能性がある。, ランサムウェア, リモートアクセス型トロイの木馬, またはコインマイナー.
• 二次マルウェアは従来どおりに動作します システム上で一度 – 持続性を確立する, データの収集, または、実行時にキャンペーン運営者が選択した特定のペイロードに応じてファイルを暗号化する。.

トロイの木馬を削除する方法:JS/FakeCaptcha?

偽のCAPTCHAページからコマンドを実行した場合, これを積極的な妥協として扱う:

1. すぐにインターネット接続を切断してください アクティブなマルウェアがコマンド＆コントロールサーバーと通信したり、データを漏洩させたりするのを防ぐ.
2. ネットワーク接続ありのセーフモードで起動する – 再起動, Shiftキーを押しながら「再起動」をクリックします。, トラブルシューティングに移動 – 高度なオプション – スタートアップ設定, 押す 5. これにより、ダウンロードされたペイロードのほとんどが起動時にロードされなくなります。.
3. 包括的なフルシステムスキャンを実行します スパイハンター セーフモードで – FakeCaptchaのJavaScript自体は通常一時的なものです。 (ページスクリプト), しかし、ダウンロードおよび実行されたペイロードは、徹底的な検出と削除が必要な実際のインストール型マルウェアです。.
4. %Temp% と %AppData% を確認してください。 最近作成された実行可能ファイルの場合, PowerShellスクリプト, またはバッチファイル – これらの場所は、FakeCaptcha攻撃によってダウンロードされるペイロードの一般的な中継地点である。.
5. タスクスケジューラとレジストリのスタートアップキーを確認する ダウンロードされたペイロードによって作成されたエントリの場合: Windows のタスクスケジューラ + R – taskschd.msc, Win 経由で登録 + R – regedit で HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun にアクセス.
6. インストールされているプログラムを確認する やり取りの頃に追加された, 設定で日付順に並べ替える – アプリ.
7. 通常通り再起動した後、2回目のスキャンを実行してください。 ダウンロードしたすべてのコンポーネントが完全に削除されたことを確認する.
8. クリーンなデバイスからブラウザに保存されているすべてのパスワードとアカウント認証情報を変更してください。 – ダウンロードされたペイロードの中に情報窃盗マルウェアが含まれていた場合, ブラウザに保存されているすべての認証情報は、侵害されているとみなすべきである。.