標籤: CAPTCHA

網路釣魚如何利用 CAPTCHA 人機驗證來躲避偵測？

趨勢科技 TrendMicro

本文探討利用 CAPTCHA 人機驗證來躲避偵測的網路釣魚攻擊，並提出一套資安框架來解決這類威脅。

CAPTCHA 的全名是「Completely Automated Public Turing test to tell Computers and Humans Apart」(區分電腦與人類的全自動化公開圖靈測驗)，該測驗在資安領域扮演了提升安全、防止未經授權存取的關鍵角色。它基本上是一種「質詢/應答」(challenge-response) 機制，可用於區分自動化機器人與人類使用者。

近年來，CAPTCHA 技術突飛猛進，以至於許多服務供應商都提供免費的 CAPTCHA 工具來讓客戶保護網站，以免網站遭到網路攻擊。然而，駭客也開始在網路釣魚網站上利用 CAPTCHA 來躲避資安產品的偵測。由於 CAPTCHA 的設計原本就是為了阻擋自動化機器人進入網站，所以這類服務也會讓資安產品更難自動偵測網路釣魚。

也因此，傳統的偵測方法已經無法滿足當前的需要。本文討論趨勢科技如何解決這項挑戰：透過一套內建行為式 AI 防護技術的平台來偵測網路釣魚網站，有效應付進階躲避技巧。

延伸閱讀：【證明你不是機器人】後,竟被植入銀行木馬竊帳密, CAPTCHA 驗證機制被網路釣魚利用接收惡意網站通知、竊個資!

網路釣魚如何利用 CAPTCHA 來躲避偵測？

繼續閱讀

【證明你不是機器人】後,竟被植入銀行木馬竊帳密, CAPTCHA 驗證機制被網路釣魚利用接收惡意網站通知、竊個資!

趨勢科技 TrendMicro

頻繁的驗證會讓人感到厭煩，為了快速進入觀看頁面，很多人會不假思索地按下「我不是機器人」。但是誰在驗證你不是機器人? 有時候不見得是安全機制,而是更進化的網路釣魚騙術。近日又出現釣魚網站偽裝「我不是機器人」驗證機制，本文幫大家整理了一些案例，一起來增加對抗網路釣魚的免疫力吧！

追蹤趨勢科技 IG 帳號 FUN心學資安

最近（2024年9月）近日，許多 GitHub 使用者收到「專案程式碼存在嚴重安全漏洞」的釣魚郵件。郵件內容會引導使用者點擊一個惡意連結，進入頁面後會彈出一個類似 Google CAPTCHA 的驗證視窗，要求使用者打開 Windows PowerShell 執行命令來完成所謂的人機驗證，一旦執行，惡意程式就會悄悄潛入使用者系統，對其造成潛在威脅。

☞ 詳請請看Ｔ客邦報導：釣魚網站騙人新招：偽裝「我不是機器人」驗證機制、誘導用戶打開Windows執行惡意命令

2021年8月媒體報導指出有用戶點入一個網路流傳的連結網站準備觀看影片時，會跳出一個類似Google reCAPTCHA的圖形驗證,提示求用戶依序點入鍵盤中的指定鍵才能觀看。這其實是誘使用戶繞過瀏覽器的防護，同意下載安裝程式。當用戶依照提示按到Tab鍵時，就會使Chrome的「繼續」鍵呈現準備。而當用戶按下reCAPTCHA中的 Enter 鍵時，就會開啟以下載並執行 Gozi/Ursnif 銀行木馬,該惡意程式會竊取銀行帳密、下載更多惡意程式，並且遠端執行攻擊者的指令，已經超過百家義大利銀行客戶受害。

☞ 詳請請看 IT home 報導:Gozi/Ursnif銀行木馬利用假CAPTCHA繞過瀏覽器防護植入電腦 。

很多人答錯的資安問題系列，持續更新中
繼續閱讀

當駭客用真人破解 CAPTCHA 驗證……

趨勢科技 TrendMicro

本文引述三個研究案例說明駭客如何利用在地代理器 (residential proxy) 與 CAPTCHA 破解服務,來避開線上服務網站的反垃圾郵件、反機器人與反濫用措施。

今日線上服務網站有一項必要安全措施就是：確定來訪的真人、而非自動化機器人。這麼做可以讓網站過濾垃圾郵件、未經授權的網站爬梳、大量的假帳號註冊、回應及評論，以及最重要的，來自殭屍網路大軍的攻擊。其中最常被用來過濾自動化機器人的工具就是用來辨別電腦和真人的全自動化公開圖靈測驗 (CAPTCHA) 驗證。

CAPTCHA 是一種「質詢/應答」驗證，理論上只有真人能通過驗證。一些常見的 CAPTCHA 驗證會在一張含有紋路的背景圖案上顯示一些扭曲的數字和英文字母，然後要求使用者將圖中所顯示的數字和字母輸入到一個文字方塊中。今日還出現了一些進階版的 CAPTCHA 驗證，要求使用者從一些方形圖片中找出某種物件，例如：交通號誌、汽車等等。

簡單的 CAPTCHA (例如只包含數字和字母) 有時可利用光學辨識 (OCR) 技巧加以破解，而較難的 CAPTCHA (例如扭曲的字元) 也可以被採用機器學習 (ML) 技術的自動化解謎程式破解。為了反制這些 CAPTCHA 破解技巧，一些更進階的 CAPTCHA 驗證已被開發出來，包括：在一個網格當中找出某些物體，或是將某個物體旋轉至正確的位置。但假使駭客在破解 CAPTCHA 驗證時使用的不是機器人而是真人，那麼線上服務業者將面臨截然不同的挑戰。

繼續閱讀