Không ai thích CAPTCHA và phải giải mã chữ méo hoặc bấm hình ảnh chỉ để đăng nhập hoặc lướt web. Tôi hiểu chúng vì bảo mật, nhưng vẫn phiền. Giờ CAPTCHA giả lừa người tải malware, khiến tôi ghét chúng hơn nữa.
CAPTCHA Không Luôn Vô Hại
Thường CAPTCHA chỉ tốn thời gian. Tôi không coi chúng có hại. Nhưng một lừa đảo CAPTCHA mới nhắm vào user Windows biến câu đố phiền toái thành malware hại với vài phím tắt.
Khi bạn bận chứng minh bạn không phải robot, hacker dùng trang CAPTCHA giả lừa bạn thực hiện tác vụ cài malware. Bạn vẫn không truy cập trang muốn, nhưng hacker chiếm toàn quyền máy tính.
Xác minh giả này trông giống y hệt kiểm tra bảo mật Cloudflare, khó phân biệt thật/giả.畢竟, chúng ta quen làm bất kỳ tác vụ nào và chuyển sang mà không nghĩ hai lần xác minh có thật hay giả.
Hacker cài Stealthy StealC Information Stealer. Nó đánh cắp chi tiết đăng nhập khi duyệt web, dữ liệu ví tiền điện tử, chi tiết email Outlook, tài khoản Steam, và nhiều hơn.
Tôi thường khuyên tránh trang web đáng ngờ. Tuy nhiên, hacker đang xâm phạm trang CAPTCHA trên trang web hợp pháp. Một mã JavaScript độc hại đơn giản thay thế CAPTCHA thật bằng giả. Đây là dạng clickjacking, làm trang hợp pháp bỗng trở nên độc hại.
Cảnh Giác CAPTCHA Yêu Cầu Phím Tắt
Thường CAPTCHA yêu cầu di chuyển mảnh ghép, gõ chữ ngẫu nhiên, chọn hình ảnh cụ thể, hoặc giải toán đơn giản. CAPTCHA giả chứa malware làm khác biệt.
Chúng yêu cầu người dùng bấm chuỗi phím tắt. Không CAPTCHA hợp pháp nào yêu cầu nhập phím tắt. Trong trường hợp này, combo là Win + R mở Run prompt nền. Sau đó Ctrl + V dán lệnh độc hại, dù bạn không thấy. Sau đó nhấn Enter, thực thi lệnh và tải malware.
Đây không phải lần đầu tấn công kiểu này, và không phải lần cuối. Chỉ năm trước, EDDIESTEALER nhắm user Windows trên Chrome cài malware qua CAPTCHA giả.
CAPTCHA Thật Vs Giả – Cách Phân Biệt
Hầu hết CAPTCHA bạn gặp là thật. Tôi có thể không thích, nhưng chúng là công cụ xác minh hợp pháp bảo vệ trang khỏi bot. Tôi thấy chúng nhiều hơn nhờ AI và gia tăng web scraping AI.
Một vài thủ thuật nhận biết CAPTCHA độc hại:
- Yêu cầu chạy script hoặc lệnh
- Checkbox "I'm Not a Robot" dẫn đến danh sách phím tắt thay vì thử thách như chọn hình ảnh
- CAPTCHA xuất hiện ngẫu nhiên thay vì khi đăng nhập hoặc truy cập lần đầu
- CAPTCHA mở trang mới với URL hơi khác
- Khoảng cách lạ hoặc lỗi ngữ pháp trong hướng dẫn
- Hình ảnh chất lượng cực thấp nhắc bạn dùng phím tắt thay vì chọn hình
Tôi cũng khuyên chú ý điều xảy ra nền. Nếu đang tương tác CAPTCHA thấy biểu tượng PowerShell hoặc Command Prompt xuất hiện thanh tác vụ, dừng mọi thứ ngay và thoát trang CAPTCHA.
Cân Nhắc Vô Hiệu Hóa Script Trong Windows
Có vẻ cực đoan, nhưng vô hiệu hóa Windows Script Host giúp ngăn script độc hại chạy. Bạn cũng dùng phương pháp ít cực đoan hơn: ngăn Windows chạy script không ký.
Nếu có quyền admin và thoải mái chỉnh Registry, vô hiệu hóa Windows Script Host. Dễ bật lại khi cần.
Nhấn Win + R, nhập regedit, Enter. Điều hướng đến:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\SettingsChuột phải vùng trống bên phải, chọn New → DWORD (32-bit) Value.
Đặt tên giá trị mới Enabled. Double-click giá trị mới, đặt giá trị 0. Khởi động lại PC xong. Muốn cho phép script, đặt giá trị 1.
Điều này cũng chặn script hợp pháp. Nhưng dễ bật lại.
Chặn JavaScript Trên Trang Web
Phương pháp khác ngăn CAPTCHA giả: chặn phần tử JavaScript trên trang. Có thể làm hỏng tính năng trang yêu thích, nhưng bạn có thể bật JavaScript cho từng trang.
Cài đặt JavaScript trong settings trình duyệt yêu thích. Hoặc dùng tiện ích chặn script như NoScript. Hoặc thử tiện ích bảo mật/quyền riêng tư như uBlock Origin tùy chỉnh điều muốn chặn.
CAPTCHA giả không biến mất. Nhưng bằng cách chặn script chạy và chú ý kỹ hướng dẫn CAPTCHA, dễ dàng an toàn hơn trước malware ẩn chứa.