L’image représente une fausse interface CAPTCHA utilisée dans des campagnes malveillantes. Elle demande à l’utilisateur de prouver qu’il n’est pas un robot en suivant trois étapes : appuyer sur Windows + R, coller un code fourni via Ctrl + V dans la fenêtre qui s’ouvre, puis appuyer sur Entrée. Une case à cocher "I am not a robot" est déjà cochée, donnant un aspect légitime à l’ensemble. Un gros bouton bleu "VERIFY" invite à valider l’action. Cette ruse vise à inciter l’utilisateur à exécuter un script PowerShell malveillant déguisé en étape de vérification.

Workflow d’une campagne d'ingénierie sociale "ClickFix", distribuant le malware Emmenhtal ( 🧀 ainsi nommé par Orange Cyberdefense :) https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide ) → Déploie Lumma Stealer

1️⃣ WordPress compromis : injection d’un JS obfusqué ( https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22 ) pour afficher un faux CAPTCHA uniquement pour les visiteurs Windows.

2️⃣ Leurrer l’utilisateur : le faux CAPTCHA les incite à copier-coller un code PowerShell.

3️⃣ Utilisation d’un LOLBIN : ce code utilise l’utilitaire natif mshta.exe pour "jouer" une fausse vidéo ( https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content ) via une URL.

4️⃣ Payload en arrière-plan : en douce, le code exécute le malware deobfusqué via padding. 🎯

Notices where this attachment appears