کپچا یا آزمون تشخیص انسان از ربات، یکی از روش‌های رایج برای محافظت از وب‌سایت‌ها در برابر ربات‌ها و درخواست‌های خودکار است. با این حال، مجرمان سایبری از آشنایی کاربران با این آزمون‌ها سوءاستفاده می‌کنند و گاهی صفحه‌ای جعلی می‌سازند که ظاهر آن به سرویس‌های امنیتی معتبر شباهت دارد. هدف این صفحات ممکن است سرقت اطلاعات یا آلوده کردن رایانه به بدافزار باشد.
خطر اصلی زمانی ایجاد می‌شود که صفحه از شما بخواهد برای تأیید هویت، برنامه‌ای در ویندوز باز کنید و دستور ناشناسی را در آن اجرا کنید. این روش که با نام حمله ClickFix شناخته می‌شود، به جای تکیه بر یک آسیب‌پذیری فنی، کاربر را فریب می‌دهد تا خودش فرمان مخرب را اجرا کند.
کپچای جعلی چیست و چگونه از آن برای انتشار بدافزار استفاده می‌شود؟
کپچای جعلی صفحه‌ای است که وانمود می‌کند برای دسترسی به یک وب‌سایت باید ثابت کنید انسان هستید؛ اما در واقع تلاش می‌کند شما را به انجام کاری خطرناک وادار کند. ممکن است این صفحه از لوگو و ظاهر سرویس‌هایی مانند Cloudflare یا reCAPTCHA تقلید کند و با نمایش عبارت «من ربات نیستم» کاملاً عادی به نظر برسد.
در حمله ClickFix، روند فریب معمولاً به این شکل است:
- کاربر از طریق ایمیل مشکوک، تبلیغ آلوده یا وب‌سایتی دست‌کاری‌شده وارد صفحه می‌شود.
- صفحه یک آزمون کپچا یا پیام خطای ظاهراً معتبر نمایش می‌دهد.
- پس از کلیک روی صفحه، ممکن است فرمانی بدون اطلاع کاربر در کلیپ‌بورد ویندوز قرار بگیرد.
- صفحه از کاربر می‌خواهد پنجره Run یا خط فرمان را باز کند و متن کپی‌شده را اجرا کند.
- در صورت اجرای فرمان، ممکن است بدافزار دانلود و اجرا شود و اطلاعات حساس را سرقت کند.
نکته مهم این است که صرف مشاهده صفحه یا کلیک روی کپچا لزوماً به معنی آلوده شدن رایانه نیست. در این شیوه، مرحله تعیین‌کننده معمولاً اجرای فرمانی است که مهاجم در کلیپ‌بورد قرار داده است. با این حال، اگر با چنین صفحه‌ای مواجه شدید، تعامل را متوقف کنید و از اجرای هرگونه دستور خودداری کنید.
نشانه‌های کپچای جعلی و ایمیل‌های فیشینگ را چگونه تشخیص دهیم؟
همه ایمیل‌های فیشینگ پر از غلط املایی نیستند و همه وب‌سایت‌های مشکوک نیز ظاهر نامرتبی ندارند. به همین دلیل، برای تشخیص کلاهبرداری اینترنتی نباید فقط به کیفیت نگارش یا طراحی صفحه تکیه کنید. بررسی فرستنده، آدرس دامنه و درخواست‌هایی که از شما می‌شود اهمیت بیشتری دارد.
به این نشانه‌ها توجه کنید:
- فرستنده نامعتبر یا نامتناسب: نام نمایشی فرستنده ممکن است با نشانی واقعی ایمیل مطابقت نداشته باشد. دامنه ایمیل را با سازمانی که ادعا می‌کند از طرف آن پیام فرستاده شده است، مقایسه کنید.
- پیام غیرمنتظره و تحریک‌کننده: ایمیلی که ادعا می‌کند اطلاعات تماس شما در یک خبر منتشر شده یا ویدیویی از شما وجود دارد، ممکن است برای وادار کردن شما به کلیک روی لینک طراحی شده باشد.
- دامنه عجیب یا دست‌کاری‌شده: املای غیرعادی دامنه، نام‌های شبیه به وب‌سایت‌های معتبر و فاصله‌گذاری غیرمعمول در آدرس می‌توانند نشانه هشدار باشند.
- درخواست اجرای فرمان: اگر صفحه‌ای از شما بخواهد پنجره Run یا PowerShell را باز کنید و فرمانی را اجرا کنید، آن را یک نشانه جدی خطر در نظر بگیرید.
- درخواست خارج شدن از مرورگر: کپچای معمولی در محیط مرورگر تکمیل می‌شود و برای اثبات انسان بودن، به اجرای دستور در سیستم‌عامل نیاز ندارد.
وجود گواهی HTTPS یا نمایش نام یک شرکت شناخته‌شده نیز به‌تنهایی اعتبار صفحه را ثابت نمی‌کند. حتی یک وب‌سایت واقعی ممکن است هک شده باشد و محتوای مخرب نمایش دهد. بنابراین، اگر صفحه‌ای با وجود ظاهر معتبر از شما رفتار غیرعادی می‌خواهد، به آن اعتماد نکنید.
اجرای فرمان در ویندوز چگونه می‌تواند باعث سرقت اطلاعات شود؟
در بعضی از حملات، صفحه جعلی پس از کلیک روی گزینه تأیید، محتوایی را در کلیپ‌بورد قرار می‌دهد که کاربر آن را نمی‌بیند. سپس از او می‌خواهد پنجره Run را با میانبر Win + R باز کند، با میانبر Ctrl + V متن را جای‌گذاری کند و کلید Enter را فشار دهد. ممکن است همین دستور ظاهری نامفهوم یا حتی متنی شبیه پیام تأیید داشته باشد، اما در پشت آن فرمان‌هایی برای دریافت و اجرای بدافزار پنهان شده باشند.
اگر چنین فرمانی اجرا شود، پیامدها به نوع بدافزار بستگی دارد. برخی بدافزارها برای سرقت رمزهای ذخیره‌شده در مرورگر، کوکی‌های ورود، اطلاعات کیف پول رمزارز یا داده‌های شخصی طراحی شده‌اند. نمونه‌های دیگر ممکن است برنامه‌های مخرب بیشتری دریافت کنند یا دسترسی غیرمجاز به رایانه ایجاد کنند.
به همین دلیل، محتوای کلیپ‌بورد را صرفاً به دلیل اینکه یک وب‌سایت آن را پیشنهاد کرده، قابل اعتماد ندانید. همچنین متن ناشناس را در پنجره Run یا ترمینال جای‌گذاری و اجرا نکنید. اگر می‌خواهید فرمانی را از یک راهنمای فنی اجرا کنید، ابتدا اعتبار منبع و کاربرد دقیق دستور را بررسی کنید.
اگر فقط روی کپچای مشکوک کلیک کرده‌اید و فرمانی را اجرا نکرده‌اید، وحشت نکنید؛ صفحه را ببندید و از ادامه تعامل خودداری کنید. اگر فرمان را اجرا کرده‌اید، موضوع را جدی بگیرید و اقدامات امنیتی لازم را انجام دهید.
اگر کپچای جعلی را دیدیم یا فرمان مشکوکی اجرا کردیم چه کنیم؟
اگر با کپچای مشکوک روبه‌رو شدید، پنجره را ببندید و هیچ فرمانی را اجرا نکنید. اگر صفحه اجازه بستن عادی را نمی‌دهد، تب مرورگر را ببندید و از باز کردن دوباره همان آدرس خودداری کنید. همچنین ایمیل اولیه را به عنوان پیام مشکوک گزارش کنید و روی لینک‌های دیگر آن کلیک نکنید.
اگر فرمان را در ویندوز اجرا کرده‌اید، اقدامات زیر را در نظر بگیرید:
- ارتباط دستگاه را قطع کنید: اگر احتمال می‌دهید بدافزار اجرا شده است، اتصال اینترنت را موقتاً قطع کنید تا ارتباط احتمالی با سرور مهاجم محدود شود.
- از یک دستگاه امن کمک بگیرید: برای تغییر رمزهای مهم از رایانه یا گوشی دیگری استفاده کنید که به آن اطمینان دارید؛ به‌خصوص اگر احتمال سرقت رمزهای مرورگر وجود دارد.
- رمزها و نشست‌های حساس را ایمن کنید: رمز ایمیل، حساب‌های مالی و سایر حساب‌های مهم را تغییر دهید و نشست‌های فعال ناشناس را لغو کنید. اگر احراز هویت دومرحله‌ای فعال نیست، آن را نیز فعال کنید.
- اسکن امنیتی انجام دهید: از Windows Security برای به‌روزرسانی اطلاعات امنیتی و اسکن کامل استفاده کنید. در صورت احتمال آلودگی جدی، اسکن آفلاین Microsoft Defender یا کمک متخصص امنیت می‌تواند لازم باشد.
- حساب‌های مالی را بررسی کنید: در صورت استفاده از کیف پول رمزارز یا حساب بانکی روی دستگاه، فعالیت‌های غیرعادی را بررسی و در صورت لزوم با ارائه‌دهنده سرویس تماس بگیرید.
مسیر باز کردن بخش محافظت در ویندوز ۱۱:
Windows Security > Virus & threat protection
امنیت ویندوز > محافظت در برابر ویروس و تهدید
اگر فرمان ناشناس اجرا شده است، صرفاً حذف فایل مشکوک یا اجرای یک اسکن سریع را تضمین کافی برای پاک شدن دستگاه ندانید. در صورت مشاهده رفتار غیرعادی، بهتر است دستگاه توسط متخصص بررسی شود. رمزهای عبور را از همان دستگاه مشکوک تغییر ندهید؛ ممکن است بدافزار همچنان فعال باشد.
سیاره‌ی آی‌تی