CAPTCHA to te chore układanki z obrazkami, każącymi nam wskazać obrazki z konkretnym obiektem lub przepisać litery z karykaturalnie wykrzywionych grafik, dzięki czemu dana strona zyskuje pewność, że nie ma do czynienia z robotami. My ich nie cierpimy, a hakerzy – uwielbiają.
CAPTCHA wciąż nieznośnie żywa
CAPTCHA jest zakałą internetu. Weryfikacja typu użytkownika jest jednak konieczna – większość współczesnych wizytatorów stron internetowych nie jest nawet… ludźmi. Miliony robotów otwiera witryny w poszukiwaniu różnego rodzaju informacji, „czyta” i indeksuje zawarte na nich treści. Część z nich jest przygotowanych tak, by wyłudzić od ludzkich użytkowników wrażliwe dane, dlatego gdzieniegdzie konieczne jest potwierdzenie, że strona ma do czynienia z człowiekiem, na przykład przy pomocy „zagadki” CAPTCHA.
Zwykle więc CAPTCHA nie służy hakerom, bo udaremnia dostęp do strony internetowej szkodliwym botom. To potężne, ale proste w swej istocie narzędzie zostało jednak użyte przeciwko praworządnym użytkownikom internetu.
Kiedy myśliwy staje się zwierzyną
Microsoft zauważył ostatnio pewną grupę ataków koordynowanych przez grupę zwaną Chomborazo. Wszystkie miały jedną wspólną cechę. Oszuści starali się rozpowszechniać szkodliwy plik Excela za pomocą stron chronionych przez CAPTCHA. Otworzenie pliku skutkowało uruchomieniem makr, które po włączeniu instalowały trojana GraceWire, kradnącego poufne informacje z urządzenia.
Dlaczego jednak używano witryn z CAPTCHA? Microsoft, jak i wiele innych firm zajmujących się bezpieczeństwem w sieci, do wyszukiwania i rozpoznawania zagrożeń używa automatów, które pobierają złośliwe oprogramowanie, uruchamiają je na maszynach wirtualnych i analizują ich działanie, określając rodzaj i stopień zagrożenia.
Sęk w tym, że tego typu oprogramowanie, którym posługują się „ci dobrzy”, nie jest w stanie przebrnąć przez filtr CAPTCHA, zastosowany przez oszustów. W tym wypadku mechanizm pomagający w chronieniu zasobów przed dostępem robotów, które były w stanie zdekonspirować nieczysty kod Chomborazo, w gruncie rzeczy działa na rzecz złodziei.
Dzięki takiemu zagraniu, oszuści są pewni, że ich złośliwe oprogramowanie uruchomi tylko człowiek – i to taki, który niczego się nie spodziewa, bo przecież treść była chroniona CAPTCHĄ, więc w jaki sposób może być szkodliwa, nieprawdaż?
Punkty za kreatywność
Używanie CAPTCHY do niecnych celów nie jest czymś niespotykanym, bo podobne przypadki odnotowywano już w ubiegłym roku, ale trzeba przyznać, że to bardzo kreatywne podejście do tematu. Wykorzystanie mechanizmów mających chronić użytkowników sieci w kompletnie przeciwnym celu to zwrot akcji, którego mało kto się spodziewa.
Najwyraźniej, w wypadku dbałości o bezpieczeństwo, musimy być wciąż niezwykle czujni. Choć szczerze powiedziawszy, za każdym razem, kiedy wypełniam „legalną” CAPTCHĘ, mam wrażenie, że coś tu jest nie tak.. ;)
