L'Agence nationale du numérique avertit : un faux écran « Je ne suis pas un robot » est utilisé pour prendre le contrôle d'ordinateurs

L'Agence nationale du numérique met en garde ce soir (jeudi) contre l'intensification de la campagne d'attaque internationale ShadowCaptcha, dans laquelle de faux écrans « Je ne suis pas un robot » sont présentés aux utilisateurs pour les inciter à exécuter eux-mêmes des commandes malveillantes. Selon l'annonce, des tentatives d'attaque ont été identifiées dans 45 pays, dont Israël, les États-Unis, la Suède, l'Australie et d'autres. Des centaines de sites ont été piratés dans le monde, mais les systèmes gouvernementaux n'ont pas été touchés et fonctionnent normalement.

« La campagne ShadowCaptcha illustre comment les attaquants perfectionnent leurs méthodes d'opération. Ils transforment l'écran familier « Je ne suis pas un robot » en piège, et utilisent désormais également des infrastructures blockchain pour transmettre du code malveillant et rendre sa détection plus difficile. Il est important pour le public de se rappeler une règle simple : un véritable test CAPTCHA ne vous demandera jamais d'ouvrir une fenêtre sur votre ordinateur ou de coller une commande — agissez conformément aux instructions de l'Agence nationale du numérique », a déclaré le général de brigade (rés.) Nati Cohen, directeur général de l'Agence nationale du numérique.

Au sein de l'unité de cyberdéfense gouvernementale (Yahav) de l'Agence nationale du numérique, on explique que dans le cadre de la campagne, les attaquants affichent un faux écran de vérification même sur des sites légitimes piratés, et demandent à l'utilisateur de copier et coller une commande dans une fenêtre sur l'ordinateur. L'exécution des instructions télécharge un logiciel malveillant qui permet aux attaquants de prendre le contrôle de l'ordinateur, de voler des informations, de miner des monnaies numériques et d'exiger une rançon.

Dans le nouveau format observé ces derniers jours, les attaquants utilisent également des réseaux blockchain publics comme canal pour transmettre le code malveillant. Selon l'Agence nationale du numérique, cette méthode rend difficile pour les systèmes de sécurité l'identification et la suppression de la menace.

L'agence souligne qu'un véritable test CAPTCHA s'effectue uniquement dans le navigateur, en cochant une case ou en sélectionnant des images. Dans le cadre d'un tel test, l'utilisateur n'est pas censé ouvrir une fenêtre de commande sur l'ordinateur, appuyer sur des combinaisons de touches ou coller du texte. Les sites touchés incluent des sites de commerce électronique, de santé, de finance et de tourisme ; les noms des sites n'ont pas été publiés car des travaux sont toujours en cours pour renforcer leur sécurité.