Ne copiez jamais ce texte : de faux CAPTCHA vident des portefeuilles crypto

Une cyberattaque de grande ampleur s’appuie sur près de 2 000 sites WordPress piratés pour diffuser un logiciel malveillant. Celui-ci vise les utilisateurs de Windows et peut dérober des mots de passe, des fichiers personnels, voire les phrases de récupération de portefeuilles crypto.

L’attaque est difficile à détecter. Les victimes se rendent sur de véritables sites d’entreprises ou blogs, mais y voient apparaître un faux CAPTCHA. En suivant les instructions affichées, elles peuvent installer elles-mêmes le malware sans s’en apercevoir.

Un faux CAPTCHA ouvre l’accès de l’ordinateur aux cybercriminels

Les chercheurs en sécurité de Check Point Research ont baptisé cette campagne StopAndProtect. Les cybercriminels prennent le contrôle de sites WordPress mal sécurisés, puis les utilisent pour piéger leurs visiteurs.

Sur ces sites, un CAPTCHA demande aux utilisateurs de copier un texte et de l’exécuter via PowerShell, un outil standard intégré à Windows. En lançant cette commande, l’utilisateur installe en réalité le logiciel malveillant.

Les attaquants peuvent ensuite récupérer de nombreuses informations. Le logiciel recherche les mots de passe et fichiers enregistrés, mais peut aussi enregistrer les frappes au clavier et réaliser une capture d’écran toutes les 30 secondes.

Pour les détenteurs de cryptomonnaies, une fonction est particulièrement dangereuse : le malware recherche les phrases de récupération des portefeuilles. Cette suite, généralement composée de 12 ou 24 mots, peut suffire à accéder aux cryptoactifs associés depuis un autre appareil.

Des milliers d’ordinateurs déjà infectés

L’ampleur de l’attaque est apparue au grand jour parce que les criminels avaient eux-mêmes mal sécurisé leur infrastructure. Les chercheurs ont ainsi pu accéder à des fichiers contenant des informations sur près de 2 000 sites compromis.

Au 24 juillet, plus de 6 000 adresses IP uniques étaient recensées comme infectées. Check Point a également découvert des centaines de lots de données volées. Un dossier non protégé contenait même plus de 20 000 captures d’écran d’ordinateurs de victimes.

L’avertissement principal est simple : un CAPTCHA légitime ne demande jamais d’exécuter du code via PowerShell ou l’invite de commandes Windows. Si une telle demande apparaît, n’exécutez pas la commande et quittez le site.