Finti CAPTCHA infestati da malware: ora li detesto ancora di più

Nessuno ama i CAPTCHA: interpretare scritte contorte o cliccare su immagini solo per accedere a un sito è snervante. Capisco che servano alla sicurezza, ma restano fastidiosi. Peggio ancora, ora circolano falsi CAPTCHA che inducono a scaricare malware: un motivo in più per odiarli.

I CAPTCHA non sono sempre innocui

Di solito i CAPTCHA fanno solo perdere tempo. Raramente li consideriamo pericolosi. Eppure è in corso una truffa che prende di mira gli utenti Windows e trasforma quei noiosi controlli in un veicolo di malware con poche combinazioni di tasti.

Mentre cerchi di dimostrare di non essere un bot, i criminali informatici usano pagine di verifica fasulle per indurti a compiere azioni che installano software malevolo. Tu non ottieni l’accesso al sito, ma loro riescono a prendere il controllo del tuo PC.

Queste pagine false imitano alla perfezione i controlli di sicurezza di Cloudflare, rendendo difficile distinguere il vero dal falso. Siamo talmente abituati a “fare il giochetto e andare avanti” che spesso non ci chiediamo se la verifica sia legittima.

Il payload più diffuso in questa campagna è StealC, un infostealer particolarmente subdolo: ruba credenziali durante la navigazione, dati dei wallet di criptovalute, informazioni da Outlook, account Steam e molto altro.

In scenari normali direi “evita i siti sospetti e sei a posto”. Purtroppo gli attaccanti stanno compromettendo anche pagine su siti affidabili. Basta un frammento di codice JavaScript malevolo per sostituire il CAPTCHA reale con uno fasullo. È una forma di clickjacking che trasforma in trappola perfino un sito legittimo.

Attenzione ai CAPTCHA che richiedono scorciatoie da tastiera

I CAPTCHA “buoni” ti chiedono di spostare un tassello, digitare lettere casuali, scegliere immagini specifiche o risolvere un’operazione semplice. Quelli infetti si comportano diversamente.

• Ti invitano a premere combinazioni di tasti. Nessun CAPTCHA autentico dovrebbe mai richiedere scorciatoie da tastiera.
• In queste truffe ti dicono di premere Win + R per aprire Esegui in background, poi Ctrl + V per incollare un comando invisibile e infine Invio per eseguirlo. Risultato: scarichi e avvii il malware.

Non è un attacco inedito e non sarà l’ultimo. Un anno fa, ad esempio, EDDIESTEALER ha preso di mira utenti Windows su Chrome proprio con pagine CAPTCHA fasulle.

CAPTCHA reali vs. falsi: come riconoscerli

La maggior parte dei CAPTCHA che incontriamo è legittima. Anche se li sopporto a fatica, sono uno strumento utile per arginare i bot, ancora più diffusi oggi tra scraping automatico e AI.

Ecco alcuni segnali che indicano un possibile falso:

• Ti chiede di eseguire uno script o un comando.
• Il checkbox “Non sono un robot” porta a un elenco di scorciatoie da tastiera invece che a una sfida (immagini, lettere, puzzle).
• Compare in momenti strani, ad esempio a metà navigazione e non in fase di login o al primo accesso.
• Si apre in una nuova pagina con un URL leggermente diverso.
• Testo con spaziatura anomala, errori grammaticali o istruzioni sgrammaticate.
• Immagini a bassissima qualità e indicazioni a usare la tastiera invece di interagire con l’immagine.

Suggerimento extra: tieni d’occhio cosa accade in background. Se, mentre interagisci con un CAPTCHA, noti l’icona di PowerShell o del Prompt dei comandi comparire nella barra delle applicazioni, interrompi subito tutto ed esci dalla pagina del CAPTCHA.

Valuta di disattivare gli script in Windows

È una misura drastica, ma la disattivazione del Windows Script Host può impedire l’esecuzione di script malevoli. In alternativa, puoi optare per un approccio più morbido che impedisce a Windows di eseguire script non firmati.

Se hai i privilegi di amministratore e te la cavi con il Registro di sistema, puoi disattivare il Windows Script Host. Potrai riattivarlo in qualsiasi momento.

1. Premi Win + R, digita regedit e premi Invio.
2. Vai a: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings
3. Nell’area destra, fai clic destro > Nuovo → Valore DWORD (32 bit).
4. Assegna al valore il nome Enabled.
5. Fai doppio clic su Enabled e imposta Dati valore su 0.
6. Riavvia il PC. Per riabilitare gli script, imposta il valore su 1.

Nota: questo blocca anche script legittimi, ma riattivare la funzionalità è semplice.

Blocca JavaScript sui siti

Un altro modo per contrastare i CAPTCHA fasulli è limitare o bloccare gli elementi JavaScript. Alcune funzioni dei siti potrebbero rompersi, ma puoi consentire JavaScript sito per sito.

• Controlla le impostazioni JavaScript nel tuo browser e crea eccezioni per i siti affidabili.
• Valuta un’estensione per bloccare script come NoScript.
• Oppure usa un’estensione per privacy e sicurezza come uBlock Origin per personalizzare cosa consentire o bloccare.

I finti CAPTCHA non spariranno domani. Ma, bloccando l’esecuzione di script e leggendo con attenzione le istruzioni di ogni verifica, è molto più facile evitare il malware nascosto dietro queste trappole.