Fake-Captchas verbreiten immer häufiger Malware
Die Gefahr, sich durch Fake-Captchas mit Malware zu infizieren, steigt. Auch das BSI sah sich bereits zu einer Warnung genötigt. Doch es gibt bereits sicherere Alternativen.
Neustadt an der Weinstraße, 30.04.2025 (PresseBox) - Captchas sind im Internet allgegenwärtig. Sie dienen dem Schutz von Webseiten vor automatisierten Angriffen oder Spam und verhindern, dass Bots Formulare im Netz automatisch ausfüllen können. Damit erfüllen sie eine wichtige Funktion – und treiben die Menschen regelmäßig in den Wahnsinn. Besonders die klassischen Bild-Captchas, bei denen man alle Bildausschnitte mit Autos, Zebrastreifen oder Ampeln anklicken muss, um zu beweisen, dass man kein Roboter ist, sind dafür bekannt, den Nutzern auf die Nerven zu gehen. Und hat man einmal ein falsches Bild angeklickt oder den kleinen Rest eines Autos in einem der Quadrate übersehen, folgt direkt die nächste Aufgabe und man fängt wieder von vorne an.
Doch Captchas sind nicht nur nervig, sondern immer häufiger auch gefährlich. Sogar das BSI hat bereits im März eine Warnung herausgegeben, dass Fake-Captchas Malware verbreiten können und Nutzer vorsichtig sein sollten. So haben Sicherheitsforscher von Darkatlas erst kürzlich festgestellt, dass der altbekannte Schädling Qakbot derzeit über gefälschte Captchas verbreitet wird. Dabei folgt auf das Fenster, bei dem man anklicken soll, dass man kein Roboter ist, anstatt des klassischen Bilderrätsels die Aufforderung bestimmte Tastenkombinationen zu drücken. Im Hintergrund wird derweil ein bösartiger Befehl in die Zwischenablage kopiert und Windows Powershell aufgerufen. Dieses Programm bewirkt, dass ein Skript von einer Webseite aufgerufen und ausgeführt wird. Wer nun auf den Trick der Betrüger hereinfällt und die angegebenen Tastenkombinationen auf der Tastatur eingibt, hat die Malware auch schon installiert.
Ein weiterer aktueller Fall zielt auf die Hotel- und Tourismusbranche ab. Hier steht am Anfang der Attacke eine sehr echt aussende E-Mail, die vermeintlich von der weltweit beliebten Buchungsplattform booking.com stammt. Darin wird das Hotel darüber informiert, dass ein Gast kürzlich einen wichtigen persönlichen Gegenstand in seinem Zimmer vergessen hat und sich an booking.con gewandt hat, um diesen zurückzubekommen. Um die entsprechenden Buchungsinformationen einzusehen, sollen die Hotelmitarbeiter einen Link anklicken. Folgt man diesem Link, gelangt man auf eine täuschend echt gefälschte Webseite im Look von booking.com., auf der man zunächst ein Captcha lösen muss, um die Daten einzusehen. Ab hier gleicht die Vorgehensweise der von Darkatlas beschriebenen, doch statt Qakbot wird hierbei der Trojaner AsyncRAT heruntergeladen, der den Angreifern weitreichenden Zugriff auf die infizierten Systeme gibt.
Die zwei beschriebenen Fälle sind nur Beispiele für die immer häufiger auftretenden Angriffe mittels Fake-Captcha. Experten fordern daher bereits seit geraumer Zeit die Abschaffung der klassischen Captchas, die eine Interaktion mit dem Nutzer erfordern. Technisch ist das bereits problemlos möglich und nicht nur sicherer, sondern auch nutzerfreundlicher. Moderne Captchas laufen komplett im Hintergrund ab und erfordern keinerlei Aktionen des Nutzers.
