reCAPTCHA Phish

John Hammond | 13. September 2024

---

Dies ist ein kleiner Baukasten, um den Social-Engineering- und Phishing-Köder nachzubilden, der kürzlich im August/September 2024 in freier Wildbahn beobachtet wurde.

🪝 Der Köder in freier Wildbahn

Ursprünglich unter dem Deckmantel „Bestätigen Sie, dass Sie ein Mensch sind" gesehen, war der Angriffsvektor Copy & Paste.

Der Angriff weist den Benutzer buchstäblich an, mit dem Hotkey Win+R den Windows-Ausführen-Dialog zu öffnen und mit Ctrl+V einen bösartigen Befehl einzufügen, den der Webbrowser zuvor in die Zwischenablage kopiert hat.

Auch wenn das ... dumm ... ist, funktioniert es wahrscheinlich trotzdem. 😅

Nach einigem Geschwätz auf Twitter werden diese offenbar "ClickFix" oder Emmenhtal genannt und in LummaStealer-Kampagnen verwendet, die von Unit42, Orange Cyberdefense, Huntress und anderen beobachtet wurden.

Tonmoy Jitu hat außerdem einen tollen Artikel über den ursprünglichen Köder geschrieben. 🔥

---

🎨 Nachbildung

[!CAUTION] Der Code ist schlecht, weil ich ein schlechter Programmierer bin.

Da das Original ein reCAPTCHA-Formular nachahmen soll, dachte ich, diese „Tradecraft" (falls man es so nennen will) könnte verbessert werden. 😈

Warum nicht dafür sorgen, dass es dem echten reCAPTCHA-Button so ähnlich wie möglich sieht?

Dieses Repository enthält einige meiner Code-Spielereien mit dieser Idee.

Wirklich alles, was du brauchst, ist index.html. Es enthält CSS und JavaScript in einer einzigen Datei für eine einfache Nutzung, muss aber möglicherweise weiter angepasst werden, um den Befehl zu ändern, der ausgeführt wird (siehe das JavaScript am Ende der Funktion showVerifyWindow). Diese Datei kann eigenständig verwendet werden, um einen beliebigen lokalen Befehl auszuführen. Um jedoch etwas mehr Flexibilität bei der Codeausführung zu erhalten, enthält dieses Repository eine Beispiel-HTA-Datei recaptcha-verify für einen harmlosen Proof of Concept, der die Windows-Rechner-Anwendung öffnet. Diese sekundäre HTA-Datei bedeutet, dass sie serverseitig gehostet werden muss oder eine andere unterstützende Infrastruktur benötigt, um die Payload bereitzustellen.

Für schnelle lokale Tests habe ich einfach python -m http.server 8000 verwendet.

Die HTA-Datei bietet auch die Möglichkeit für eine überzeugendere Täuschung, möglicherweise mit einem Fenster, das auftaucht, um „eine Verbindung zu den reCAPTCHA-Servern herzustellen", dann aber meldet, dass dies fehlgeschlagen ist, und den Benutzer auffordert, alles noch einmal zu tun. 🤪 (Extra Callbacks, irgendjemand?)

Diese Nachbildung hat also ein paar Extras:

• Sieht aus und fühlt sich an wie „echtes" reCAPTCHA (Bild von der offiziellen Google-Seite)
• Validierung im Ausführen-Feld, um den Befehl zu „verstecken" (✅ "Ich bin kein Roboter - reCAPTCHA-Verifizierungs-ID: 7624")
• Deaktivierter „Verify"-Button, um die Benutzer weiter zu ermutigen, die Copy-Paste-Schritte abzuschließen. 🚫
• Ausgearbeitete Phishing-Nachbildung mit den Folgefenstern „Verifizierung fehlgeschlagen"
• Leert die Zwischenablage, damit der Payload-Befehl entfernt wird.

Ein Teil des Codes wird wiederverwendet von https://github.com/75a/fake-captcha

---

🤔 Andere Gedanken

• Vielleicht könnte dies in einem iframe-Element verwendet oder einfach als Widget überall eingebettet werden.
• Vielleicht könnte es etwas mehr serverseitige Kontrolle geben, um den User-Agent des Clients zu prüfen und Dinge anders zu machen oder die Payload entsprechend anzupassen.
• Vielleicht könnte dies in einen einfachen GitHub-Pages- oder Vercel-Schnipsel verwandelt werden, um schnell eine öffentliche Domain und einfache Werkzeuge zu haben.

Außerdem, nUr Zu BiLdUnGsZwEcKeN!!!11 🐬