Kopieer nooit die tekst: valse CAPTCHA plundert cryptowallets

In dit artikel:

Beveiligingsonderzoekers van Check Point Research waarschuwen voor de cybercampagne ‘StopAndProtect’, waarbij criminelen bijna 2.000 slecht beveiligde WordPress-websites hebben gekaapt. Bezoekers van onder meer bedrijfswebsites en blogs krijgen daar een valse CAPTCHA te zien. Die vraagt hen een tekst te kopiëren en via PowerShell uit te voeren, terwijl daarmee in werkelijkheid malware op hun Windows-computer wordt geïnstalleerd.

De malware kan opgeslagen wachtwoorden en persoonlijke bestanden buitmaken, toetsaanslagen registreren en elke dertig seconden screenshots maken. Ook zoekt de software naar herstelzinnen van cryptowallets. Met die meestal 12 of 24 woorden kunnen aanvallers vanaf een ander apparaat toegang krijgen tot de bijbehorende cryptovaluta.

De schaal kwam aan het licht doordat de infrastructuur van de aanvallers zelf onvoldoende was beveiligd. Op 24 juli stonden meer dan 6.000 unieke IP-adressen als besmet geregistreerd. Onderzoekers vonden bovendien honderden verzamelingen met gestolen gegevens, waaronder een map met ruim 20.000 screenshots.

Check Point benadrukt dat een normale CAPTCHA nooit vraagt om code via PowerShell of de Windows-opdrachtprompt uit te voeren. Wie zo’n verzoek ziet, moet niets uitvoeren en de website direct verlaten.