Die meisten Menschen kennen sie: kleine Tests mit Checkboxen oder Bilderrätseln, die beweisen sollen, dass man ein Mensch und keine Maschine ist. Captchas genießen daher ein gewisses Vertrauen – ein Vertrauen, das Kriminelle nun gezielt ausnutzen.
Aktuell warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer besonders gefährlichen Masche: Wer beim Besuch einer Webseite auf ein „Ich bin kein Roboter“-Captcha stößt, sollte aufmerksam bleiben – vor allem, wenn nach dem Setzen des grünen Häkchens weitere Anweisungen folgen.
Gefälschte Captchas: Einfallstor für Schadsoftware
Normalerweise erhält man nach dem Lösen eines Captchas direkten Zugang zur Webseite. Doch taucht anschließend ein weiteres Banner mit Anweisungen zur Eingabe bestimmter Tastenkombinationen auf, handelt es sich mit hoher Wahrscheinlichkeit um eine manipulierte Seite. In diesem Fall sollte der Vorgang sofort abgebrochen und der Browser geschlossen werden.
Bereits Ende 2024 wurde diese Angriffsmethode erstmals dokumentiert, unter anderem vom Schweizerischen Bundesamt für Cybersicherheit (BACS).
Der Trick: Das ursprüngliche Captcha ist eine Fälschung – und wer den weiteren Anweisungen folgt, setzt ungewollt gefährlichen Schadcode in Gang.
Wie der Betrug funktioniert
- Beim Setzen des Häkchens im Captcha wird unbemerkt ein schädlicher Befehl in die Zwischenablage kopiert.
- Das zweite Banner fordert den Nutzer dann auf, ein Windows-Eingabefeld mit einer bestimmten Tastenkombination zu öffnen.
- Anschließend soll – meist ohne es zu bemerken – der kopierte Befehl eingefügt und ausgeführt werden.
- Dadurch wird eine Schadsoftware vom Server der Angreifer heruntergeladen und installiert.
Schadsoftware kann erheblichen Schaden anrichten
- Sie kann System- und Browserdaten auslesen.
- Sie ist in der Lage, Passwörter, Kreditkartendaten oder andere sensible Informationen zu stehlen.
- Sie kann Krypto-Wallets und Onlinebanking-Prozesse kompromittieren.
- Sie erlaubt es den Angreifern, beliebige weitere Befehle auszuführen oder zusätzliche Schadsoftware zu installieren.
Wie man sich schützt
Um sich vor dieser Art von Angriffen zu schützen, gilt:
- Bei ungewöhnlichen Captcha-Anfragen misstrauisch bleiben.
- Niemals unerwartete Tastenkombinationen auf Anweisung einer Webseite ausführen.
- Bei Verdacht die Seite sofort schließen und keine weiteren Eingaben tätigen.
Cyberkriminelle entwickeln immer raffiniertere Methoden – umso wichtiger ist es, wachsam zu bleiben und verdächtige Aktivitäten frühzeitig zu erkennen.