uncaptcha

Derrotando o sistema de áudio reCaptcha do Google com 85% de precisão. uncaptcha

Aviso Legal

unCaptcha é destinado a ser uma prova de conceito. Na época do nosso artigo, descobrimos que ele resolvia com sucesso os desafios de áudio do reCaptcha com 85% de sucesso. Desde então, o reCaptcha parece incluir algumas proteções adicionais que limitam o sucesso do unCaptcha. Não manteremos este código como um ataque eficaz ao reCaptcha.

Por exemplo, o Google também melhorou sua detecção de automação de navegador. Isso significa que o Selenium não pode ser usado em seu estado atual para obter captchas do Google. Isso pode levar o Google a enviar segmentos de áudio estranhos de volta ao usuário final. Além disso, observamos que alguns desafios de áudio incluem não apenas dígitos, mas pequenos trechos de texto falado.

Incentivamos você a ter cuidado ao fazer pesquisa nesta área, estar ciente das leis locais, estaduais e federais, e divulgar de forma responsável quaisquer vulnerabilidades potenciais ao Google imediatamente.

Além disso, removemos nossas chaves de API de todas as consultas necessárias. Se você está procurando recriar parte do trabalho ou está fazendo sua própria pesquisa nesta área, precisará adquirir chaves de API de cada um dos seis serviços usados. Essas chaves são delineadas em nossos arquivos por uma longa string do caractere 'X'.

Inspiração

Em toda a Internet, centenas de milhares de sites dependem do sistema reCaptcha do Google para defesa contra bots (de fato, o Devpost usa reCaptcha ao criar uma nova conta). Depois que uma equipe de pesquisa do Google demonstrou uma derrota quase completa do reCaptcha de texto em 2012, o sistema reCaptcha evoluiu para depender de desafios de áudio e imagem, historicamente desafios mais difíceis para sistemas automatizados resolverem. O Google continua iterando em seu design, lançando uma versão mais nova e poderosa já neste ano. Demonstrar com sucesso uma derrota deste sistema captcha representa uma vulnerabilidade significativa para centenas de milhares de sites populares.

O que faz

Nosso sistema unCaptcha possui capacidades de ataque escritas para o captcha de áudio. Usando software de automação de navegador, podemos interagir com o site alvo e engajar com o captcha, analisando os elementos necessários para iniciar o ataque. Confiamos principalmente no ataque de captcha de áudio - identificando corretamente números falados, podemos passar o reCaptcha programaticamente e enganar o site fazendo-o pensar que nosso bot é um humano. Especificamente, o unCaptcha tem como alvo o popular site Reddit, passando pelas etapas de criação de um novo usuário, embora o unCaptcha pare antes de criar o usuário para mitigar o impacto no Reddit.

Contexto

O sistema reCaptcha do Google usa um sistema avançado de análise de risco para determinar programaticamente a probabilidade de um determinado usuário ser humano ou bot. Ele leva em conta seus cookies (e por extensão, sua interação com outros serviços do Google), a velocidade com que os desafios são resolvidos, movimentos do mouse e (obviamente) quão bem-sucedido você é na tarefa dada. Conforme o sistema fica cada vez mais suspeito, ele entrega desafios cada vez mais difíceis e exige que o usuário resolva mais deles. Pesquisadores já identificaram pequenas fraquezas no sistema reCaptcha - 9 dias de interação legítima (mais ou menos) com os serviços do Google geralmente são suficientes para diminuir significativamente o nível de suspeita do sistema.

Como funciona

O formato do captcha de áudio é uma série de números de comprimento variado espaçados e lidos em voz alta em velocidades, tons e sotaques variados através de ruído de fundo. Para atacar este captcha, o payload de áudio é identificado na página, baixado e automaticamente dividido por locais de fala.

A partir daí, cada bit de áudio de número é enviado para 6 serviços de transcrição de áudio online gratuitos diferentes (IBM, Google Cloud, Google Speech Recognition, Sphinx, Wit-AI, Bing Speech Recognition), e esses resultados são coletados. Nós combinamos os resultados de cada um para enumerar probabilisticamente a string de números mais provável com uma heurística predeterminada. Esses números são então digitados organicamente no captcha, e o captcha é concluído. Pelos testes, vimos mais de 92% de precisão na identificação individual de números e mais de 85% de precisão na derrota do captcha de áudio em sua totalidade.

Instalação

Primeiro, instale as dependências python:

$ pip install -r requirements.txt

Certifique-se de ter também sox, ffmpeg e selenium instalados!

$ apt-get install sox ffmpeg selenium

Então, para iniciar o PoC:

$ python main.py --audio --reddit

Isso abre reddit.com, interage com a página para ir ao cadastro de conta, gera um nome de usuário falso, e-mail, senha e então ataca o captcha de áudio. Uma vez que o captcha é concluído (independentemente de ter passado ou não), o navegador é fechado.