Хакери обходять стандартний захист ПК через фейкову CAPTCHA на зламаних сайтах

Урядова команда реагування на комп’ютерні надзвичайні події України (CERT-UA) опублікувала результати аналізу тактики початкового проникнення, яку використовує хакерська група UAC-0145. Фахівці дослідили понад десять скомпрометованих вебресурсів, на яких упродовж червня-липня застосовувалася схема ClickFix, і описали механізм, що дозволяє зловмисникам змусити користувача власноруч виконати шкідливу команду на комп'ютері.

За даними CERT-UA, атака починається після переходу на зламаний сайт. Відвідувачу демонструють повідомлення, яке імітує перевірку браузера або CAPTCHA, після чого пропонують виконати низку дій, що фактично призводять до запуску підготовленої PowerShell-команди. Такий підхід дозволяє обійти звичні механізми захисту, оскільки шкідливі дії ініціює сам користувач, а не завантажений виконуваний файл.

CERT-UA встановила, що UAC-0145 використовує скомпрометовані легітимні сайти як майданчики для доставки шкідливого коду. Після виконання команди на пристрої можуть завантажуватися додаткові компоненти, які забезпечують закріплення в системі та подальший розвиток атаки. Така модель первинної компрометації ускладнює виявлення інциденту як засобами фільтрації вебтрафіку, так і традиційними антивірусними рішеннями.

Описана схема означає необхідність перегляду засобів захисту кінцевих пристроїв і політик використання PowerShell та інших інтерпретаторів команд. Окрему увагу варто приділити моніторингу виконання скриптів, контролю привілейованих команд, журналюванню подій на робочих станціях і навчанню співробітників розпізнавати соціотехнічні сценарії, які не потребують завантаження традиційного шкідливого файлу.