reCAPTCHA Phish

John Hammond | September 13, 2024

人間であることを確認

これは、2024年8月から9月にかけて実際の環境で観測されたソーシャルエンジニアリングおよびフィッシングの誘導（lure）を再現するための小さなハーネスです。

🪝 実際に観測された手口

当初は 「人間であることを確認してください」 という偽装で観測されており、攻撃ベクトルは コピー＆ペースト です。

この手口は、ユーザーにホットキー Win+R で Windows の「ファイル名を指定して実行」ダイアログを開くように指示し、Web ブラウザーが事前にクリップボードへコピーした悪意のあるコマンドを Ctrl+V で貼り付けさせます。

検証手順

これが... 馬鹿げている にもかかわらず...、確かに、たぶん機能するのでしょう。😅

Twitter でのやり取りを受けて、これらはどうやら "ClickFix" または Emmenhtal と呼ばれ、Unit42、Orange Cyberdefense、Huntress などが観測した LummaStealer キャンペーンで使用されています。

Tonmoy Jitu 氏も、元の誘導を解説した素晴らしい記事を書いています。🔥

🎨 再現

[!CAUTION] コードがひどいのは、私が下手なプログラマーだからです。

元の手口は reCAPTCHA フォームを模倣することを意図しているため、この '手口'（そう呼んでよければ）は改善できると思いました。😈

本物の reCAPTCHA ボタンに可能な限り近い見た目にしてみてはどうでしょう？

reCAPTCHA

新しい手順

このリポジトリには、そのアイデアを試した私のコードの一部が含まれています。

実際に必要なのは index.html だけです。使いやすいように CSS と JavaScript を 1 つのファイルに含めていますが、実行されるコマンドを変更するには追加のカスタマイズが必要になるかもしれません（showVerifyWindow 関数の末尾にある JavaScript を参照してください）。これはスタンドアロンのファイルとして使用でき、任意のローカルコマンドを実行できます。ただし、コード実行にもう少し柔軟性を持たせるため、このリポジトリには Windows の電卓アプリケーションを起動するという無害な概念実証として、サンプルの HTA ファイル recaptcha-verify が含まれています。このセカンダリ HTA ファイルは、サーバーサイドでホストするか、ペイロードを配信するための他のバックエンド基盤が必要になることを意味します。

手早くローカルでテストするには、私は実際に python -m http.server 8000 を使っただけです。

HTA ファイルは、より説得力のある偽装の機会も与えてくれます。たとえば「reCAPTCHA サーバーに接続しようとする」ウィンドウをポップアップさせたものの、失敗したと表示してユーザーにもう一度やり直すよう促す、といったものです。🤪 （追加のコールバック、誰か欲しい？）

接続に失敗

この再現には、次のような追加の利点があります。

本物の reCAPTCHA のように見えて操作感も似ている（Google 公式サイトの画像）
コマンドを「隠す」ための実行ダイアログでの検証（✅ "私はロボットではありません - reCAPTCHA Verification ID: 7624"）
「Verify」ボタンを無効にして、ユーザーにコピー＆ペースト手順の完了をさらに促します。🚫
「検証に失敗しました（failed to verify）」というフォローアップウィンドウまで作り込んだフィッシング
クリップボードをクリアして、ペイロードコマンドを削除します。

一部のコードは https://github.com/75a/fake-captcha から再利用しています。

🤔 その他の考察

これは iframe 要素内で使用できるかもしれませんし、どこにでも 簡単に埋め込めるウィジェットになるかもしれません。
クライアントのユーザーエージェントをチェックして異なる動作をさせたり、ペイロードを適宜調整したりするために、もう少しサーバーサイドの制御を追加できるかもしれません。
これは、公開ドメインと簡単なツールをすぐに利用できるようにする、GitHub Pages や Vercel のちょっとしたプロジェクトに変換できるかもしれません。

また、 教育目的のみですよ！！！11 🐬

recaptcha-phish

人気