Das CAPTCHA gehört zu den am häufigsten eingesetzten Technologien, um unbefugte Zugriffe auf eine Website einzuschränken. Allerdings wird dieses Werkzeug mittlerweile zunehmend von modernen Cyberkriminellen im Rahmen von Phishing-Kampagnen missbraucht.
Was ist ein CAPTCHA
Wer täglich das Internet nutzt, kennt den Begriff CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart), ein Akronym, das ein IT-Sicherheitssystem beschreibt, das zwischen menschlichen Nutzern und automatisierten Bots unterscheiden soll. CAPTCHAs, auf die wir im Alltag stoßen, verlangen in der Regel die Lösung einer einfachen Aufgabe, etwa das Erkennen bestimmter Objekte in Bildern, das Lösen eines kleinen Puzzles oder das Eingeben einer verzerrt dargestellten Zeichenfolge.
Trotz ihrer einfachen Funktionsweise werden CAPTCHAs eingesetzt, um automatisierte Aktivitäten zu verhindern, die für Websites extrem schädlich sein können, wie etwa massenhaftes Ausfüllen von Formularen oder Brute-Force-Angriffe auf Zugangsdaten. Sie stellen sicher, dass sich ein Mensch vor dem Computer befindet – und nicht ein automatisiertes Programm.
Im Laufe der Jahre hat sich die Technologie dieser Tools weiterentwickelt, bis hin zu reCAPTCHAs, die noch fortschrittlichere Methoden wie das Monitoring des Nutzerverhaltens einsetzen. Dazu gehören Skripte, die Aktivitäten innerhalb eines Portals aufzeichnen, Checkboxen wie „I am not a robot“ sowie Hintergrundskripte, die im Verborgenen auf Webseiten arbeiten.
Der Einsatz von CAPTCHAs in Phishing-Kampagnen
Das Vertrauen, das Nutzer dieser Technologie entgegenbringen, führt häufig zu einer Unterschätzung der damit verbundenen Risiken. Genau deshalb setzen immer mehr Threat Actor CAPTCHAs ein, um weniger aufmerksame Nutzer hereinzulegen. Fehlt die nötige Sensibilisierung, öffnen diese im schlimmsten Fall die Tür für verschiedenste Angriffe.
Ein gängiges Szenario betrifft den Einsatz gefälschter PowerShell-Skripte, die oft in gezielten Phishing-Kampagnen eingebettet sind und Malware wie sogenannte Payloads verteilen – darunter Reverse Shells oder Infostealer. Diese Kampagnen nutzen von Kriminellen betriebene Webseiten, die legitime Seiten imitieren und zusätzlich gefälschte CAPTCHAs einbinden.
Wie funktioniert Phishing mit einem gefälschten CAPTCHA?
Phase 1: Die Phishing-Seite
Wie bei vielen Angriffen, die auf die Unwissenheit der Nutzer setzen, beginnt alles mit einer täuschend echten Phishing-Seite. Diese kann eine bekannte Plattform imitieren, zum Beispiel eine Login-Seite einer Bank oder eine E-Mail eines Zahlungsdienstleisters, und zielt darauf ab, den Nutzer zur Interaktion zu bewegen. Ohne entsprechende Schulung erkennt man die feinen Unterschiede zur echten Seite – etwa abweichende Schriftarten, Rechtschreibfehler oder Formatierungsprobleme – oft nicht.
Phase 2: Der Einsatz eines gefälschten CAPTCHA
Auf der gefälschten Seite wird der Nutzer aufgefordert, bestimmte Aktionen auszuführen – etwa die Bestätigung seiner Identität über ein CAPTCHA, das in Wahrheit schädliche Prozesse im Hintergrund auslöst. Ein aktuelles Beispiel ist der Infostealer Lumma Stealer: Nach dem Klick auf „Verifizieren“ verlangt die Seite untypische Schritte, die nichts mit einem CAPTCHA zu tun haben. Im gezeigten Beispiel wird der Nutzer aufgefordert, das Windows-Tool „Ausführen“ zu öffnen, dort Inhalte per CTRL + V einzufügen und mit Enter zu bestätigen.
Phase 3: Die Copy-Paste-Falle
Im Hintergrund löst der Klick auf das CAPTCHA ein verstecktes JavaScript aus, das eine schädliche Aktion durchführt. Beim Lumma Stealer wird etwa ein PowerShell-Befehl automatisch in die Zwischenablage kopiert – ohne dass der Nutzer dies bemerkt. Dieser Befehl fungiert als PowerShell Dropper, ein Skript, das Schadcode herunterlädt und ausführt.
Exkurs: Was ist ein PowerShell Dropper?
Ein zentrales Element dieser Angriffe ist der PowerShell Dropper. Dabei handelt es sich um ein Skript, das entwickelt wurde, um eine schädliche Payload „abzulegen“ bzw. herunterzuladen und auszuführen. Diese Technik ist besonders effektiv, da PowerShell auf Windows-Systemen meist standardmäßig aktiviert ist und als leistungsstarkes Administrationswerkzeug missbraucht werden kann.
Phase 4: Die Ausführung der Payload
An diesem Punkt folgt der Nutzer – von der Phishing-Seite gelenkt – den Anweisungen des gefälschten CAPTCHA. Durch CTRL + V wird der kopierte PowerShell-Befehl eingefügt und ausgeführt. Das Resultat: Eine schädliche Payload wird gestartet, die zum Beispiel Folgendes enthalten kann:
- Reverse Shell: Ermöglicht Angreifern den Fernzugriff auf das System.
- Infostealer: Malware, die sensible Informationen wie Passwörter, Cookies, Bankdaten oder andere Zugangsdaten stiehlt.
Zur Kategorie der Infostealer gehört auch der bereits genannte Lumma Stealer, der nicht nur Daten exfiltriert, sondern auch mit einem Command-and-Control-Server (C2) kommuniziert, über den die Angreifer den Malware-Einsatz steuern und Daten empfangen.
Phase 5: Datendiebstahl und Fernkontrolle
Ist die Malware einmal aktiv, sammelt sie sensible Daten und überträgt diese an den Command and Control Server. Parallel erlaubt eine Reverse Shell den Angreifern vollständigen Fernzugriff: Sie können weitere Kommandos ausführen, zusätzliche Malware installieren oder gezielt weitere Daten abziehen – alles unbemerkt vom Opfer.
Lumma Stealer: Analyse des SOC Cyberlys
Um die Folgen eines Angriffs, der ein gefälschtes CAPTCHA ausnutzt, besser zu verstehen, präsentieren wir eine detaillierte Analyse des zuvor beschriebenen Infostealers Lumma Stealer.
Download der Archivdatei
Die Anfangsphase der Analyse sah den Download einer .zip-Archivdatei vor, die über einen PowerShell-Befehl abgerufen wurde. Diese Datei stellt eines der Elemente dar, die von den Angreifern zur Verbreitung der Malware verwendet werden. Im folgenden Screenshot sind die technischen Details des Befehls zu sehen, mit dem das Archiv mit der schädlichen Payload heruntergeladen wurde.
Extraktion des Archivs
Nach dem Entpacken der .zip-Datei wurde deren Inhalt untersucht, wobei mehrere Dateien zum Vorschein kamen, darunter eine ausführbare Datei mit dem Namen Setup.exe. Diese ausführbare Datei stellt die Payload dar, also den Schadcode, den der Angreifer auf dem System des Opfers installieren will, um Daten zu exfiltrieren oder andere bösartige Aktionen auszuführen.
Ausführung und Analyse der Payload
Die Ausführung von Setup.exe ermöglichte eine dynamische Analyse der Malware. Da LummaStealer komplex und stark verschleiert ist, erwies sich eine statische Analyse als aufwendig und begrenzt. Daher wurde Setup.exe in einer kontrollierten Umgebung gestartet, wobei das Verhalten der Malware mit ProcessHacker überwacht wurde.
Während der Analyse erzeugte die Payload zwei Prozesse; einer davon, mit dem Namen SearchIndexer.exe, wurde zunächst im Suspended-Zustand gestartet, was auf den Einsatz von Process Hollowing hinweist – eine Injektionstechnik, bei der ein legitimer Prozess mit Schadcode überschrieben wird.
Nach der Reaktivierung des Prozesses wurde die finale Payload mithilfe von PE-Sieve direkt aus dem Speicher extrahiert – ein Tool, das Shellcode oder Portable Executables (PE) aus dem Speicher dumpen kann. Der Dump enthüllte eine verschleierte PE-Datei namens 5000.exe, die fortgeschrittene Evasion-Techniken (wie IsDebuggerPresent, Trigonometry und VM Evasion) nutzt, um ihre Ausführung in Analyseumgebungen zu verhindern.
Wiederherstellung der Malware-Konfiguration
Im nächsten Schritt wurden mithilfe eines Python-Skripts in IDA bestimmte Strings entschlüsselt, wodurch interne Konfigurationsinformationen der Malware offengelegt wurden. Dieser Vorgang offenbarte kritische Details zu den Arbeitsweisen der Malware sowie zu den Befehlen, die sie zum Datendiebstahl erhielt.
SHA256: Eindeutiger Identifikator, der durch den Algorithmus SHA256 erzeugt wird und es ermöglicht, die analysierte Datei präzise zu erkennen. Dieser Hash dient als digitaler Fingerabdruck, um bekannte Malware-Varianten durch Abgleich mit Datenbanken schädlicher Hashes zu identifizieren.
- 9b94e4c0a4edf5bf35c3c05e6a26d17590671c780b82467e2939588b58a33b41
C2-IP-Adressen (Command and Control): Liste der vom Malware-Bot verwendeten IP-Adressen zur Verbindung mit den Kontrollservern. Das Blockieren dieser IPs ist entscheidend, um die Kommunikation zwischen Malware und C2-Server zu unterbrechen und ihre Aktivitäten einzuschränken.
- stitchmiscpaew[.]shop
- grassemenwji[.]shop
- commisionipwn[.]shop
- charistmatwio[.]shop
- basedsymsotp[.]shop
- complainnykso[.]shop
- ignoracndwko[.]shop
- proffoduwnuq[.]shop
- preachstrwnwjw[.]shop.
Build ID: Ein Identifikator, der mit einer bestimmten Version oder Variante der Malware verknüpft ist und zur Nachverfolgung und Katalogisierung von Varianten dient.
- MeHdy4–pl8vrs3
IoC (Indicators of Compromise): Verdächtige URLs, Datei-Hashes und Domains, die auf schädliche Aktivitäten hinweisen. IoCs sind entscheidend, um die Präsenz der Malware im Netzwerk zu erkennen und Eindämmungs- sowie Entfernungsschritte einzuleiten.
- URL: newvideozones[.]click/verify-captcha.v2.html
- URL: pub-9c4ec7f3f95c448b85e464d2b533aac1[.]r2[.]dev/a.txt
- URL: pub-9c4ec7f3f95c448b85e464d2b533aac1[.]r2[.]dev/peltgon[.]zip
- Dropper: 19d04a09e2b691f4fb3c2111d308dcfa2651328dfddef701d86c726dce4a334a
- Payload finale: 9b94e4c0a4edf5bf35c3c05e6a26d17590671c780b82467e2939588b58a33b41
