Serangan CAPTCHA Palsu: Bagaimana Perisian Hasad ClickFix Memperdaya Kepercayaan Pengguna dan Perkara yang Perlu Anda Ketahui untuk Kekal Selamat

Memahami Peningkatan Serangan Perisian Hasad CAPTCHA Palsu

Sistem CAPTCHA—teka-teki biasa yang meminta anda mengenal pasti huruf yang herot atau memilih imej—merupakan tunjang keselamatan dalam talian. Sistem ini direka untuk membezakan manusia daripada bot, sekali gus melindungi laman web daripada spam, penyalahgunaan automatik dan serangan pengisian kelayakan log masuk. Namun, apabila sistem ini semakin meluas, penjenayah siber menemui cara untuk mengeksploitasi kepercayaan pengguna terhadap CAPTCHA, lalu mencetuskan bentuk baharu serangan kejuruteraan sosial yang sangat berkesan: kempen perisian hasad CAPTCHA palsu, terutamanya yang menggunakan kaedah bernama ClickFix.

Artikel ini menerangkan cara serangan CAPTCHA palsu berfungsi, helah teknikal dan psikologi di sebaliknya, perisian hasad yang disebarkannya (seperti Lumma Stealer), serta langkah praktikal yang boleh diambil oleh individu dan organisasi untuk melindungi diri.

Apakah Serangan CAPTCHA Palsu?

Dalam serangan CAPTCHA palsu, penjenayah siber mencipta laman web atau tetingkap timbul yang menyerupai sistem CAPTCHA sah seperti reCAPTCHA Google atau skrin cabaran Cloudflare. Pemalsuan ini begitu meyakinkan sehingga pengguna berpengalaman pun mungkin tidak menyedari sesuatu yang mencurigakan. Serangan ini lazimnya berlaku seperti berikut:

• Mangsa diperdaya supaya melayari laman web berbahaya, selalunya melalui e-mel pancingan data, iklan palsu atau laman sah yang telah diceroboh.
• Laman tersebut memaparkan CAPTCHA palsu dan meminta pengguna membuktikan bahawa mereka bukan robot.
• Selepas pengguna berinteraksi dengan CAPTCHA itu, mereka diberikan arahan lanjut—seperti menyalin dan menampal arahan ke dalam kotak dialog Run atau terminal komputer.
• Apabila arahan itu diikuti, kod berniat jahat akan dijalankan lalu menjangkiti peranti dengan perisian hasad.

Kaedah ini amat berbahaya kerana ia memanfaatkan tindakan pengguna sendiri untuk memintas kawalan keselamatan, sekali gus menyukarkan pengesanan dan pencegahan.

ClickFix: Penggerak Kejuruteraan Sosial di Sebalik Serangan

Istilah ClickFix merujuk kepada teknik kejuruteraan sosial yang memperdaya pengguna supaya menjalankan sendiri arahan berniat jahat. Tidak seperti perisian hasad tradisional yang bergantung pada eksploitasi kelemahan perisian atau memperdaya pengguna supaya memuat turun fail yang dijangkiti, ClickFix memanipulasi pengguna untuk menjalankan arahan yang memasang perisian hasad, sering kali melalui langkah yang kelihatan tidak berbahaya.

Sebagai contoh, CAPTCHA palsu mungkin mengarahkan pengguna supaya:

• Menekan Windows Key + R untuk membuka kotak dialog Run.
• Menampal arahan yang diberikan (selalunya skrip PowerShell atau mshta.exe).
• Menekan Enter untuk menjalankannya.

Langkah-langkah ini kelihatan seperti sebahagian daripada proses pengesahan biasa, tetapi sebenarnya menyebabkan perisian hasad seperti Lumma Stealer, AsyncRAT atau trojan pencuri maklumat lain dimuat turun dan dijalankan.

Bagaimana Serangan CAPTCHA Palsu Disebarkan: Contoh Sebenar

Serangan CAPTCHA palsu dikesan dalam pelbagai keadaan dan menyasarkan individu serta organisasi di seluruh dunia. Kempen yang ketara termasuk:

• Pancingan Data Booking.com: Penyerang menyamar sebagai laman tempahan hotel popular itu dan menghantar e-mel pancingan data yang membawa pengguna ke halaman Booking.com palsu dengan CAPTCHA tiruan. Mangsa yang mengikuti arahan akhirnya memasang perisian hasad yang mencuri kelayakan log masuk dan data peribadi mereka.
• Iklan Berniat Jahat dan Keracunan SEO: Penjenayah siber menggunakan teknik pengoptimuman enjin carian (SEO) dan iklan berniat jahat untuk mempromosikan laman muat turun palsu bagi perisian, muzik atau filem popular. Laman ini memaparkan CAPTCHA palsu sebelum menjangkiti peranti.
• Laman Sah yang Diceroboh: Laman web yang dipercayai juga boleh diceroboh untuk memaparkan tetingkap timbul CAPTCHA palsu, sekali gus menjadikan serangan itu lebih meyakinkan.

Menurut firma keselamatan LAC, insiden yang melibatkan ClickFix dikesan dalam persekitaran berbilang pelanggan sejak akhir 2024, dengan peningkatan ketara pada 2025. Serangan ini bukan sahaja berlaku di Jepun; ia turut dilaporkan di AS, Eropah dan Asia, dengan sektor telekomunikasi, penjagaan kesihatan, kewangan dan hospitaliti antara yang terjejas.

Mengapa Serangan Ini Begitu Berkesan?

Serangan CAPTCHA palsu mengeksploitasi beberapa faktor psikologi dan teknikal:

• Keakraban dan Kepercayaan: Pengguna sudah biasa melihat CAPTCHA dan jarang mempersoalkan kesahihannya.
• Keletihan Rutin: Pendedahan kerap kepada CAPTCHA boleh menyebabkan “keletihan pengesahan”, lalu membuatkan pengguna kurang berwaspada.
• Kejuruteraan Sosial: Arahan langkah demi langkah disampaikan seolah-olah perlu untuk pengesahan, sekali gus mengurangkan rasa curiga.
• Memintas Kawalan Keselamatan: Oleh sebab pengguna sendiri memulakan arahan itu, penyelesaian keselamatan titik akhir mungkin menganggap tindakan tersebut sah, lalu menyukarkan pengesanan.

Perisian Hasad di Sebalik Samaran: Lumma Stealer dan Lain-lain

Antara muatan paling lazim yang disebarkan melalui serangan CAPTCHA palsu ialah Lumma Stealer, iaitu perisian hasad pencuri maklumat (infostealer) yang semakin popular dalam kalangan penjenayah siber sejak kemunculannya pada 2022. Lumma Stealer dijual di forum web gelap dan saluran Telegram, sering kali sebagai tawaran Perisian Hasad sebagai Perkhidmatan (MaaS), sekali gus memudahkan pelbagai jenis penyerang menggunakannya.

Apakah yang Dilakukan Lumma Stealer?

Selepas dipasang, Lumma Stealer boleh:

• Mengumpul kata laluan dan kuki yang disimpan dalam pelayar.
• Mencuri kelayakan dompet mata wang kripto (cth., MetaMask, Binance).
• Mengekstrak data pengesahan dua faktor (2FA) dan sambungan pelayar.
• Mengumpul data sistem dan aplikasi, termasuk kelayakan desktop jauh.
• Mengeksfiltrasi fail dan maklumat sensitif ke pelayan jauh yang dikawal penyerang.

Keluarga perisian hasad lain yang dikesan dalam kempen ini termasuk AsyncRAT, Vidar Stealer, XWorm dan pelbagai trojan akses jauh (RAT). Rantaian jangkitan juga mungkin melibatkan skrip yang dikaburkan, fail imej (.png, .gif) yang mengandungi kod tersembunyi serta muatan berbilang peringkat untuk mengelakkan pengesanan.

Butiran Teknikal: Cara Serangan Ini Berfungsi

Penyelidik keselamatan telah mendokumenkan aliran teknikal berikut:

• Halaman CAPTCHA palsu dimuatkan, selalunya melalui pautan pancingan data atau iklan berniat jahat.
• Selepas pengguna melengkapkan CAPTCHA, mereka diminta menjalankan arahan (cth., melalui kotak dialog Windows Run atau terminal macOS).
• Arahan itu lazimnya menggunakan PowerShell atau mshta.exe untuk memuat turun dan menjalankan skrip daripada pelayan jauh.
• Skrip tersebut memuat turun muatan perisian hasad (cth., fail ZIP yang mengandungi Lumma Stealer), yang kemudian dijalankan pada mesin mangsa.
• Perisian hasad mula mengeksfiltrasi data, selalunya menggunakan sambungan HTTPS yang disulitkan untuk mengelakkan pemantauan rangkaian.

Sesetengah kempen menggunakan JavaScript yang dikaburkan dan dibenamkan dalam fail yang kelihatan tidak berbahaya (seperti MP3 atau PDF) untuk menyamarkan serangan dengan lebih berkesan.

Kesan Global dan Insiden Utama

Serangan CAPTCHA palsu menyebabkan kerugian kewangan dan kehilangan data yang besar di seluruh dunia. Menurut Gen Digital (syarikat induk Norton dan Avast), serangan pancingan data dan perisian hasad yang menggunakan CAPTCHA palsu meningkat lebih 600% di Jepun pada 2024, dengan trend serupa turut diperhatikan di seluruh dunia. Jumlah kerugian yang dilaporkan akibat serangan sedemikian mencecah ratusan juta dolar.

Sektor yang paling terjejas termasuk:

• Telekomunikasi – Menjadi sasaran untuk mendapatkan data pelanggan dan infrastruktur.
• Penjagaan Kesihatan – Serangan terhadap portal perubatan dan data pesakit.
• Kewangan dan Perbankan – Kecurian kelayakan log masuk yang membawa kepada transaksi tanpa kebenaran.
• Hospitaliti – Booking.com dan platform seumpamanya digunakan sebagai umpan.

Kumpulan APT (Ancaman Berterusan Lanjutan), termasuk pelaku tajaan negara dari Korea Utara, Iran dan Rusia, turut menggunakan serangan bergaya ClickFix untuk kegiatan pengintipan dan mendapatkan akses berterusan ke rangkaian korporat.

Cara Mengenal Pasti dan Mencegah Serangan CAPTCHA Palsu

Memandangkan serangan ini semakin canggih, pertahanan teknikal dan tingkah laku sama-sama penting. Berikut perkara yang perlu anda ketahui:

Tanda Amaran: Cara Mengesan CAPTCHA Palsu

• Arahan Luar Biasa: CAPTCHA yang sah tidak pernah meminta anda menjalankan arahan sistem, membuka kotak dialog Run atau menampal kod ke dalam terminal.
• Permintaan untuk Memuat Turun atau Memasang Perisian: Berwaspada terhadap CAPTCHA yang meminta anda memuat turun fail atau sambungan pelayar.
• Tetingkap Timbul Tidak Dijangka: CAPTCHA yang muncul di laman web yang tidak dikenali atau mencurigakan, terutamanya selepas mengklik iklan atau pautan dalam e-mel yang tidak diminta.
• URL Pelik: Periksa alamat laman web dengan teliti. CAPTCHA palsu sering muncul pada domain yang salah eja atau tidak berkaitan dengan perkhidmatan yang anda jangkakan.

Amalan Terbaik untuk Individu

• Jangan sekali-kali mengikuti arahan untuk menjalankan arahan daripada sumber yang tidak dipercayai. Jika CAPTCHA meminta anda membuka kotak dialog Run atau terminal, tutup halaman itu serta-merta.
• Sahkan kesahihan laman web. Layari laman web secara terus dengan menaip URL, bukan dengan mengklik pautan dalam e-mel atau iklan.
• Pastikan perisian dan sistem pengendalian anda dikemas kini. Tampalan keselamatan dapat membantu mencegah eksploitasi kelemahan.
• Gunakan perisian keselamatan yang bereputasi. Aktifkan perlindungan masa nyata dan pastikan definisi keselamatan sentiasa dikemas kini.
• Didik diri sendiri dan orang lain. Kesedaran ialah pertahanan terbaik terhadap kejuruteraan sosial.

Amalan Terbaik untuk Organisasi

• Laksanakan kawalan teknikal: Hadkan keupayaan pengguna bukan pentadbir untuk menjalankan arahan PowerShell atau mshta.exe melalui Group Policy atau alat pengurusan titik akhir.
• Pantau aktiviti mencurigakan: Gunakan penyelesaian Pengesanan dan Tindak Balas Titik Akhir (EDR) untuk mengesan pelaksanaan arahan dan trafik rangkaian yang luar biasa.
• Sekat domain dan URL berniat jahat yang diketahui: Pastikan senarai sekatan dikemas kini dan gunakan penyelesaian penapisan web.
• Wajibkan pengesahan berbilang faktor (MFA): Kurangkan kesan kecurian kelayakan log masuk.
• Adakan latihan kesedaran keselamatan secara berkala: Ajar pekerja mengenali pancingan data dan taktik kejuruteraan sosial.
• Sediakan pelan tindak balas insiden: Pastikan titik akhir yang dijangkiti dapat diasingkan dan disiasat dengan segera.

Perkara yang Perlu Dilakukan Jika Anda Mengesyaki Jangkitan

Jika anda percaya anda telah menjadi mangsa serangan CAPTCHA palsu:

• Putuskan sambungan daripada rangkaian dengan segera untuk mencegah pengeksfiltrasian data selanjutnya.
• Hubungi pasukan IT atau keselamatan anda jika anda berada dalam persekitaran organisasi.
• Jalankan imbasan perisian hasad yang menyeluruh menggunakan perisian keselamatan yang bereputasi.
• Tukar semua kata laluan bagi akaun yang diakses daripada peranti yang dijangkiti, terutamanya perkhidmatan sensitif seperti perbankan, e-mel dan storan awan.
• Pantau akaun untuk mengesan aktiviti mencurigakan dan pertimbangkan untuk mengaktifkan langkah keselamatan tambahan seperti MFA.

Mengapa Serangan CAPTCHA Palsu Menandakan Era Baharu Jenayah Siber

Serangan CAPTCHA palsu, terutamanya yang menggunakan ClickFix, menandakan perkembangan penting dalam jenayah siber. Dengan mengeksploitasi kepercayaan pengguna terhadap mekanisme keselamatan yang biasa dan menggunakan kejuruteraan sosial, penyerang boleh memintas banyak pertahanan tradisional. Serangan ini sukar dikesan kerana bergantung pada tindakan yang dimulakan pengguna, manakala perisian hasad yang disebarkan semakin canggih dan modular.

Ketika penjenayah siber terus memperhalus teknik mereka, batas antara pengalaman dalam talian yang sah dengan yang berniat jahat semakin kabur. Trend ini menegaskan betapa pentingnya menggabungkan kawalan teknikal dengan pendidikan dan kewaspadaan pengguna.

Ringkasan

• Serangan CAPTCHA palsu menggunakan pemalsuan teka-teki keselamatan yang meyakinkan untuk memperdaya pengguna supaya menjalankan perisian hasad pada peranti mereka sendiri.
• Kaedah ClickFix memanipulasi pengguna supaya menjalankan arahan berniat jahat, sekali gus memintas banyak kawalan keselamatan.
• Lumma Stealer dan perisian hasad seumpamanya boleh mencuri kata laluan, data kewangan dan banyak lagi, lalu mengakibatkan kerugian besar kepada individu dan organisasi.
• Serangan ini merebak di seluruh dunia, menyasarkan pelbagai sektor dan individu.
• Tanda amaran termasuk CAPTCHA yang meminta anda menjalankan arahan sistem atau memuat turun fail—CAPTCHA yang sah tidak pernah berbuat demikian.
• Pencegahan memerlukan gabungan kawalan teknikal, perisian keselamatan terkini dan pendidikan pengguna.
• Jika dijangkiti, putuskan sambungan daripada rangkaian, jalankan imbasan perisian hasad, tukar kata laluan dan dapatkan bantuan profesional.
• Sentiasa berwaspada dan bersikap skeptikal terhadap arahan dalam talian yang tidak dijangka ialah pertahanan terbaik terhadap gelombang ancaman siber baharu ini.