Исследователи Андреас Плеснер (Andreas Plesner), Тобиас Фонтобель (Tobias Vontobel), Роджер Ваттенхофер (Roger Wattenhofer) из Швейцарской высшей технической школы Цюриха с помощью ИИ взломали систему проверки reCAPTCHAv2, которая используется на сайтах для подтверждения того, что пользователь является человеком, а не роботом. Учёные утверждают, что обученная ими нейросеть способна пройти 100 % проверок, тогда как раньше этот процент не превышал 71 %.

Источник изображения: Pixabay

Исследователи изучали эффективность использования передовых методов машинного обучения для решения проверок (капч) из системы reCAPTCHAv2 от Google. Они пытались оценить эффективность автоматизированных систем в решении капч, используя передовые модели YOLO (You Only Look Once) для сегментации и классификации изображений.

reCAPTCHAv2 требует от пользователей отмечать на изображении области с определёнными предметами, подразумевая, что бот на такое не способен. Исследователи пришли к выводу, что на современном этапе развития ИИ разница в сложности подобных задач для человека или нейросети нивелируется. Это означает, что современные технологии ИИ могут без проблем проходить проверки, основанные на распознавании изображений.

Источник изображения: humansnotinvited.com

«Мы также заглядываем под капот reCAPTCHAv2 и находим доказательства того, что reCAPTCHAv2 в значительной степени основана на данных cookie и истории браузера при оценке того, является ли пользователь человеком или нет», — добавили исследователи.

Исследователи кибербезопасности McAfee Labs выявили широкомасштабную кампанию по распространению вредоносного ПО под названием ClickFix, которое использует поддельные страницы CAPTCHA для заражения ПК пользователей вирусом Lumma Stealer. Атака имеет глобальный охват, использует методы социальной инженерии, и в основном нацелена на геймеров, ищущих пиратские взломанные игры, и пользователей GitHub.

Источник изображения: Pixabay

Вредоносное ПО распространяется двумя основными способами. В первом сценарии пользователи, ищущие пиратские или взломанные игры, перенаправляются на поддельные страницы CAPTCHA. Во втором сценарии используются фишинговые письма, имитирующие сообщение от GitHub с информацией о якобы выявленных проблемах безопасности в проектах пользователя. Эти письма также содержат ссылку на страницу с фейковой CAPTCHA.

При взаимодействии пользователей с этими страницами вредоносный скрипт скрытно копируется в буфер обмена их ПК, а «инструкция по верификации» убеждает запустить скрипт на выполнение. При этом ClickFix использует несколько умных способов избежать обнаружения: многослойное шифрование, использование инструмента Windows под названием mshta.exe для запуска скрытого кода и зашифрованные с помощью AES команды PowerShell, используемые для загрузки и установки Lumma Stealer.

Источник изображения: Game Science / McAfee

Анализ McAfee показывает, что вредоносное ПО обычно сохраняется во временной папке пользователя, место, которое часто упускается из виду при сканировании безопасности. Компания уже внедрила защитные меры, включая блокировку URL известных поддельных страниц CAPTCHA и контроль за нестандартным использованием mshta.exe.

Чтобы снизить риски, эксперты советуют не загружать взломанное или пиратское программное обеспечение и призывают пользователей остерегаться нежелательных писем, даже тех, которые, как кажется, приходят из надёжных источников. Не следует копировать и вставлять неизвестные скрипты, а программное обеспечение безопасности нужно поддерживать в актуальном состоянии.

Процесс распространения вредоносного ПО демонстрирует изменение тактики киберпреступников. Они эксплуатируют стандартное поведение пользователей и доверие к знакомым веб-элементам, таким как проверка CAPTCHA. Постоянная бдительность и обучение имеют решающее значение для поддержания кибербезопасности, поскольку угрозы становятся всё более изощрёнными.

Тесты CAPTCHA (капча), которые сайты используют для проверки, являетесь ли вы человеком, теперь могут быть быстрее решены ботами, чем людьми. Несмотря на их первоначальное назначение — борьбу с автоматизированными ботами в интернете, исследования показали, что машины решают эти задачи быстрее и точнее.

Источник изображения: perianjs / Pixabay

CAPTCHA — это аббревиатура от Completely Automated Public Turing test to tell Computers and Humans Apart, что означает «Полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей». Эти тесты обычно включают в себя идентификацию искажённых букв, изображений с определёнными предметами и животными или выполнение простых арифметических задач. Они были созданы для решения одной из самых сложных проблем в интернете: борьбы с ботами, которые притворяются людьми, чтобы создавать фальшивые аккаунты и оставлять ненастоящие отзывы.

Исследование, проведённое учёными из Калифорнийского университета в Ирвайне (UCI), показало, что тесты CAPTCHA не так эффективны, как предполагалось раньше. В ходе исследования учёные сравнили поведение ботов и 1400 человек, которым предложили решить 14000 различных тестов. Результаты были однозначными: машины победили.

Когда людям предлагали решить тесты на искажённый текст, они тратили от 9 до 15 секунд и правильно отвечали лишь в 50-84 % случаев. В то время как боты проходили те же тесты менее чем за секунду с точностью 99,8 %.

Профессор Джин Цудик (Gene Tsudik) из UCI — один из соавторов исследования — считает, что необходимы лучшие решения борьбы с ботами. Он задаётся вопросом: «Почему мы продолжаем использовать технологию, которая почти всеми нелюбима, стоит так дорого (особенно с точки зрения потерь человеческого времени) и неэффективна против ботов?»

Цудик предполагает, что одна из причин — крупные поставщики CAPTCHA, включая Google, которые зарабатывают на продаже своих услуг и не имеют стимулов отказываться от своего метода работы. Профессор и его коллеги проанализировали 200 из самых популярных сайтов и обнаружили, что 120 из них используют тесты CAPTCHA. Цудик сомневается, что будет создана форма CAPTCHA, которая пройдёт проверку временем. Он утверждает, что, несмотря на все нововведения, боты в конечном итоге окажутся победителями в этой гонке технологий.