Les vérifications CAPTCHA par lesquelles les sites et les services web peuvent déterminer si la personne qui se connecte, est vraiment un être humain, sont également utilisées à des fins de piratage informatique. HP a en effet découvert plusieurs attaques permettant à des logiciels malveillants de se frayer ainsi un chemin.
Pouvez-vous prouver que vous êtes un être humain? Les célèbres tests CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart), où les utilisateurs d’un ordinateur doivent retaper un mélange non structuré de mots et de lettres ou sélectionner des images de… zèbres, par exemple, pensaient pouvoir le déterminer sans erreur depuis des décennies.
Or une nouvelle étude de sécurité menée par HP montre que les cybercriminels abusent de plus en plus de cette méthode de vérification pour pénétrer dans les ordinateurs. HP Wolf Security, la division sécurité du fabricant d’ordinateurs créée en 2021, révèle dans un nouveau Threat Insights Report l’usage croissant de faux tests de vérification CAPTCHA en vue de tromper les utilisateurs et de les inciter à infecter leurs ordinateurs avec des logiciels malveillants (malware).
Plusieurs fausses campagnes CAPTCHA
Plusieurs campagnes utilisant de tels CAPTCHA mal intentionnés ont déjà été identifiées, dont l’une a incité les victimes à exécuter une commande malveillante dans Microsoft PowerShell sur leur PC, ce qui finalement a provoqué à leur insu l’installation du cheval de Troie Lumma Stealer.
‘L’authentification multi-étapes est désormais la norme, ce qui amplifie notre ‘tolérance aux clics’: l’étude montre en effet que les utilisateurs passent par plusieurs étapes dans une chaîne d’infection’, explique le Dr. Ian Pratt, Global Head of Security for Personal Systems chez HP. ‘Pour lutter contre des menaces de plus en plus imprévisibles, les entreprises doivent s’efforcer de réduire leur surface d’attaque en isolant les actions risquées, comme cliquer sur des liens ou des fichiers potentiellement nuisibles. Ce faisant, elles n’ont pas à anticiper la prochaine attaque, puisqu’elles sont déjà protégées.’
Du malware dans les images
Autre menace notable dans le rapport: les agresseurs qui placent du code malveillant dans des images Scalable Vector Graphics (SVG). Comme les images de ce genre sont ouvertes par défaut dans les navigateurs web, des logiciels malveillants peuvent facilement y pénétrer. Les chercheurs ont également découvert du malware susceptible de permettre aux agresseurs d’accéder aux webcams et aux microphones des utilisateurs.
Vous avez repéré une erreur ou disposez de plus d’infos? Signalez-le ici