Captchageddon signale un changement dangereux

Ce qui ressemble à un simple « êtes-vous humain? » Check est désormais l’une des astuces les plus dangereuses sur Internet. Les faux captchas ont évolué vers des lanceurs de logiciels malveillants à part entière, grâce à une nouvelle méthode sournoise appelée ClickFix. Il copie les commandes dans votre presse-papiers et vous incite à les exécuter, sans jamais télécharger de fichier.

Ce changement dans les tactiques d’attaque est si grand que les chercheurs l’appellent «captchageddon». Ce n’est pas seulement une nouvelle arnaque. C’est un système de livraison de logiciels malveillants viraux plus convaincant, furtif et répandu qu’avant. Décomposons comment fonctionne cette nouvelle vague d’attaques et ce qui rend si difficile à arrêter.

Inscrivez-vous à mon rapport Cyberguy gratuit
Obtenez mes meilleurs conseils technologiques, mes alertes de sécurité urgentes et mes offres exclusives livrées directement dans votre boîte de réception. De plus, vous aurez un accès instantané à mon guide de survie à l’escroquerie ultime – gratuit lorsque vous rejoignez mon Cyberguy.com/newsletter.

Comment les escrocs exploitent vos données pour les escroqueries de retraite «pré-approuvées»

Comment les faux captchas ont pris le relais

En 2024, les experts en sécurité ont mis en garde contre les fausses fenêtres de mise à jour du navigateur. Les victimes ont été invitées à télécharger des fichiers qui se sont avérés être des logiciels malveillants. Mais ces astuces sont désormais dépassées. Entrez ClickFix.

Au lieu de demander aux utilisateurs d’installer quelque chose, ClickFix charge un faux écran CAPTCHA. Il a l’air légitime, tout comme Google RecaptCha ou les vérifications de bot de CloudFlare. Mais lorsque vous cliquez sur « Vérifiez », il copie secrètement un script PowerShell ou Shell malveillant à votre presse-papiers.

De là, vous n’êtes qu’à une pâte de l’installation de logiciels malveillants qui vole vos comptes, mots de passe et fichiers. Cette nouvelle astuce est plus convaincante que n’importe quelle ancienne invite de téléchargement. Et il se propage comme des incendies de forêt.

5 étapes pour protéger vos finances contre les escroqueries familiales

Des pop-ups aux campagnes CAPTCHA à grande échelle

Les faux captchas ne sont pas restés dans des pop-ups publicitaires sommaires pendant longtemps. Les attaquants ont réalisé qu’ils pouvaient cacher ces astuces dans des endroits auxquels les gens ont déjà confiance:

• Blogs WordPress compromis
• Référentiels GitHub
• Filetages Reddit
• Sites d’information floues
• E-mails de phishing booking.com

Chaque attaque se fond dans le site ou le service qu’il imite. Certains captchas affichent même des logos de sites, ce qui donne l’impression que l’astuce est venue de la page elle-même. Ce n’est plus un schéma de pulvérisation et d’alimentation. Il est ciblé d’ingénierie sociale enveloppé dans un design élégant.

La technologie derrière l’astuce Captcha

Ce ne sont pas des escroqueries à faible effort. Les attaquants évoluent constamment leurs tactiques pour éviter la détection. Voici ce qui rend ce logiciel malveillant si furtif:

• Détournement de presse-papiers: Au lieu de télécharger un fichier, il colle l’attaque directement dans votre presse-papiers.
• Code obscurci: Les scripts PowerShell et Shell sont cachés avec des fautes d’orthographe, des symboles et du codage.
• Hôtes de confiance: Certaines charges utiles proviennent des scripts Google, ce qui les rend sûres.
• Récompense multiplateforme: Ils ciblent les utilisateurs Windows, MacOS et Linux.

Les attaquants desservent également les charges utiles à travers des domaines d’apparence de confiance et même des bibliothèques JavaScript légitimes.

Qu’est-ce que l’intelligence artificielle (IA)?

Suivi de l’ADN du malware

Les chercheurs en sécurité de Guardio n’ont pas simplement examiné une seule attaque. Ils ont analysé des milliers. En regroupant les structures de commande, les domaines et les modèles de charge utile, ils ont identifié plusieurs acteurs de menace en utilisant des tactiques similaires, chacune avec une touche légèrement différente. Certains groupes utilisent un code fortement obscurci. D’autres optent pour la vitesse avec des scripts propres et lisibles. Mais tous s’appuient sur le même astuce de base: vous tromper pour cliquer sur quelque chose qui semble inoffensif.

Comment se protéger des fausses attaques de captcha

Ces nouvelles escroqueries clickfix sont furtives, convaincantes et difficiles à détecter, mais vous pouvez rester en sécurité avec les bonnes habitudes et les bons outils. Voici ce qu’il faut faire immédiatement:

1) Gardez le logiciel de votre navigateur et de votre antivirus mis à jour

Exécutez toujours la dernière version de votre navigateur et de votre système d’exploitation. Mise à jour des trous de sécurité des patchs que les attaquants exploitent. Utilisez également un fort logiciel antivirus et gardez-le à jour. La meilleure façon de vous protéger à partir de liens malveillants qui installent des logiciels malveillants, potentiellement accéder à vos informations privées, est d’installer un logiciel antivirus solide sur tous vos appareils. Cette protection peut également vous alerter sur les e-mails de phishing et les escroqueries par ransomware, en protégeant vos informations personnelles et vos actifs numériques.

Obtenez mes choix pour les meilleurs gagnants de la protection antivirus 2025 pour vos appareils Windows, Mac, Android et iOS à Cyberguy.com/lockupyourtech.

Obtenez des affaires Fox en déplacement en cliquant ici

2) Évitez de copier et de coller les commandes à partir de sources inconnues

Si un site vous demande de coller une commande dans votre terminal ou la console de navigateur, arrêtez. Il s’agit de la principale méthode de livraison pour ClickFix Malware. Les services légitimes ne vous demanderont jamais de le faire.

3) Vérifiez attentivement les liens et les domaines

Les campagnes de phishing cachent de faux captchas dans des URL légitimes sur Reddit, Github et même des sites d’information. Souhaitez toujours les liens avant de cliquer et de revérifier le domaine, surtout s’il est invité à « vérifier que vous êtes humain ».

4) Utilisez un service de suppression de données personnelles

Ces attaques ciblent souvent les utilisateurs dont les e-mails ou les détails personnels circulent déjà en ligne. Ces services peuvent réduire votre empreinte numérique en demandant la suppression des sites de courtiers de données. Bien qu’aucun service ne puisse garantir la suppression complète de vos données d’Internet, un service de suppression de données est vraiment un choix intelligent. Ils ne sont pas bon marché – et votre intimité non plus. Ces services font tout le travail pour vous en surveillant activement et en effacement systématiquement vos informations personnelles à partir de centaines de sites Web. C’est ce qui me donne la tranquillité d’esprit et s’est avéré être le moyen le plus efficace d’effacer vos données personnelles sur Internet. En limitant les informations disponibles, vous réduisez le risque de références croisées des escrocs à partir de violations avec des informations qu’ils pourraient trouver sur le Dark Web, ce qui rend plus difficile pour eux de vous cibler.

Consultez mes meilleurs choix pour les services de suppression des données et obtenez une analyse gratuite pour savoir si vos informations personnelles sont déjà sur le Web en visitant Cyberguy.com/delete

Obtenez un scan gratuit pour savoir si vos informations personnelles sont déjà sur le Web: Cyberguy.com/freescan.

5) Utilisez un navigateur avec une protection de phishing intégrée

Les navigateurs modernes comme Brave, Chrome, Firefox, Safari et Opera offrent une protection en temps réel qui bloque des sites Web malveillants, y compris de fausses pages Captcha. Microsoft Edge comprend également de fortes défenses de phishing via son filtre à écran intelligent. Assurez-vous que des fonctionnalités telles que la navigation en toute sécurité améliorée ou l’écran intelligent sont activées. Ces outils détectent les menaces avant de cliquer, vous donnant une couche critique de défense.

6) Utilisez un gestionnaire de mots de passe avec détection de phishing

Les gestionnaires de mots de passe ne stockent pas seulement vos connexions; Ils peuvent également vous alerter lorsqu’un site semble suspect. Si votre gestionnaire ne va pas automatiquement un mot de passe sur un écran CAPTCHA ou une page de connexion, c’est un drapeau rouge. Cela signifie généralement que le site n’est pas reconnu comme légitime. Ce petit moment d’hésitation peut vous aider à éviter de tomber amoureux d’une arnaque.

Consultez les meilleurs gestionnaires de mots de passe évalués par des experts en 2025 à Cyberguy.com/passwords.

7) Signaler de faux sites Captcha

Si vous atterrissez sur une page Captcha ombragée, ne fermez pas l’onglet; signalez-le. La plupart des navigateurs ont une option « Signaler un problème de sécurité », ou vous pouvez utiliser Google Safe à naviguer (Safebrowsing.google.com). Le signalage des pages malveillants aide à empêcher l’arnaque de se propager et protège les autres de la victime de la même victime.

8) avertissez vos amis et votre famille des escroqueries captcha

La plupart des gens ne connaissent pas ces attaques basées sur le presse-papiers. Partagez cet article et parlez-en. La sensibilisation peut empêcher l’arnaque de se propager.

Cliquez ici pour obtenir l’application Fox News

Les principaux plats de Kurt

Captchageddon marque un tournant. Les logiciels malveillants ne se cachent plus dans les téléchargements ombragés. Il se cache à la vue, sur des sites Web familiers, dans des applications de confiance et à l’intérieur des boutons, vous cliquez tous les jours. Cette tendance remplace entièrement la fausse arnaque de mise à jour du navigateur. C’est plus intelligent, plus rapide et plus difficile à détecter. Et à moins que nous ne compreniez comment il se propage, il ne fera que croître. La sécurité signifie maintenant réfléchir à deux fois au quotidien. Même un captcha.

Avez-vous déjà rencontré un captcha suspect ou une étrange invite en ligne? Qu’est-ce qui vous a fait basculer, ou êtes-vous presque tombé amoureux? Faites-nous savoir en nous écrivant à Cyberguy.com/contact.

Inscrivez-vous à mon rapport Cyberguy gratuit
Obtenez mes meilleurs conseils technologiques, mes alertes de sécurité urgentes et mes offres exclusives livrées directement dans votre boîte de réception. De plus, vous aurez un accès instantané à mon guide de survie à l’escroquerie ultime – gratuit lorsque vous rejoignez mon Cyberguy.com/newsletter.

Copyright 2025 Cyberguy.com. Tous droits réservés.