تصویرهای ظاهراً بی‌خطر به بخشی از زنجیره چندمرحله‌ای انتشار بدافزار تبدیل شده‌اند
هکرها بدافزار را داخل تصاویر PNG پنهان می‌کنند؛ کپچای جعلی Cloudflare راه نفوذ به ویندوز شد
مهاجمان با جعل کپچای Cloudflare کاربران ویندوز را به اجرای PowerShell ترغیب می‌کنند و بدافزار را در داده‌های تصویری PNG پنهان می‌کنند.
مهاجمان سایبری با سوءاستفاده از نام و ظاهر سرویس تأیید هویت Cloudflare، کاربران را به اجرای دستورهای مخرب PowerShell در ویندوز ترغیب می‌کنند. در یکی از روش‌های تازه شناسایی‌شده، کدهای اجرایی داخل داده‌های تصویری PNG پنهان می‌شوند و پس از دانلود، از دل تصویر استخراج و روی سیستم قربانی بازسازی و اجرا می‌شوند.
کپچای جعلی Cloudflare چگونه کاربران را فریب می‌دهد؟
براساس گزارشی که GBHackers در ۱۱ نوامبر ۲۰۲۶ منتشر کرده و با استناد به تحقیقات شرکت Huntress تهیه شده است، مهاجمان از تکنیکی به نام ClickFix برای فریب کاربران استفاده می‌کنند. در این روش، کاربر هنگام بازدید از یک وب‌سایت آلوده یا صفحه‌ای جعلی با پنجره‌ای شبیه تأیید هویت Cloudflare مواجه می‌شود که از او می‌خواهد ثابت کند ربات نیست.
پس از تعامل با صفحه، دستور مخربی در کلیپ‌بورد کاربر کپی می‌شود و از او خواسته می‌شود آن را در PowerShell یا محیط اجرای دستورات ویندوز وارد کند. مهاجمان برای طبیعی جلوه دادن این فرایند، حتی پیام‌های نمایشی تأیید هویت و نوارهای پیشرفت جعلی را به کار می‌گیرند تا کاربر تصور کند در حال تکمیل یک بررسی امنیتی معمولی است.
بدافزار چگونه داخل تصویر PNG پنهان می‌شود؟
بخش قابل‌توجه این حمله، استفاده از تکنیکی به نام استگانوگرافی (Steganography) است. مهاجمان به‌جای قرار دادن فایل اجرایی با پسوندهای مشکوک در اختیار قربانی، داده‌های مربوط به فایل‌های مخرب را در اطلاعات پیکسلی تصاویر PNG جاسازی می‌کنند.
پس از اجرای دستور PowerShell، زنجیره مخرب حمله آغاز می‌شود. اسکریپت ابتدا یک فایل فشرده حاوی اجزای لازم برای ادامه حمله دریافت می‌کند و سپس با اجرای مراحل بعدی، تصاویر PNG ظاهراً معمولی را از زیرساخت مهاجم دانلود می‌کند.
در ادامه، اسکریپت داده‌های پنهان‌شده در تصاویر را استخراج می‌کند، فایل‌های اجرایی را روی سیستم بازسازی می‌کند و آن‌ها را به اجرا درمی‌آورد. به این ترتیب، تصویری که در ظاهر هیچ تفاوتی با یک فایل گرافیکی عادی ندارد، به محمل انتقال بدافزار تبدیل می‌شود.
هدف مهاجمان فقط نصب بدافزار نیست
بررسی Huntress نشان می‌دهد این زنجیره حمله به اجرای یک فایل مخرب محدود نمی‌شود. مهاجمان پس از ورود به سیستم، با ایجاد وظایف زمان‌بندی‌شده در ویندوز و تغییر کلیدهای رجیستری، برای حفظ دسترسی خود حتی پس از راه‌اندازی مجدد دستگاه تلاش می‌کنند.
قابلیت‌های مشاهده‌شده در این حملات شامل شناسایی ساختار شبکه، جمع‌آوری اطلاعات سیستم و سرقت اطلاعات احراز هویت است. در برخی نمونه‌ها نیز مهاجمان با ایجاد تونل ارتباطی معکوس، امکان برقراری ارتباط با شبکه داخلی سازمان قربانی را فراهم کرده‌اند.
چگونه گرفتار کپچای جعلی نشویم؟
مهم‌ترین نکته این حمله، وابستگی آن به اقدام مستقیم کاربر است. سرویس‌های معتبر تأیید هویت مانند Cloudflare برای اثبات انسان بودن کاربر، از او نمی‌خواهند دستورهای PowerShell یا فرمان‌های سیستمی را در ویندوز اجرا کند.
اگر صفحه‌ای برای تکمیل کپچا از شما خواست کلیدهای ترکیبی مانند Win+R را فشار دهید، دستوری را از کلیپ‌بورد در محیط اجرای ویندوز قرار دهید یا PowerShell را باز کنید، باید آن را یک نشانه جدی از تلاش برای کلاهبرداری و آلودگی سیستم در نظر بگیرید.
همچنین توصیه می‌شود از اجرای دستورهایی که در وب‌سایت‌ها یا پنجره‌های تأیید هویت ناشناس نمایش داده می‌شوند خودداری کنید، مرورگر و نرم‌افزارهای امنیتی را به‌روز نگه دارید و در محیط‌های سازمانی، اجرای غیرعادی PowerShell و پردازش‌هایی را که از مرورگرها راه‌اندازی می‌شوند زیر نظر بگیرید.
منابع:
