Des pirates informatiques utilisent de fausses pages CAPTCHA pour déclencher des fraudes SMS internationales coûteuses.

La plupart des internautes connaissent les tests CAPTCHA, des défis simples comme sélectionner des feux de circulation ou taper des lettres déformées pour confirmer qu'ils sont humains. Mais les cybercriminels ont trouvé le moyen de détourner ce procédé. Des pirates informatiques créent désormais de fausses pages CAPTCHA qui incitent les utilisateurs à envoyer des SMS internationaux payants, ce qui fait grimper discrètement leur facture téléphonique.

Cette menace est liée à un système de fraude aux télécommunications appelé Fraude internationale au partage des revenus, ou IRSF (International Revenue Share Fraud), actif depuis au moins juin 2020.

Ce stratagème attire les utilisateurs vers des sites web qui ressemblent à des pages de vérification légitimes. Au lieu d'un CAPTCHA classique, ces fausses pages demandent aux utilisateurs d'envoyer un SMS pour prouver qu'ils sont humains.

Ce que les victimes ignorent, c'est que ces messages sont envoyés à des numéros de téléphone situés dans des pays où les frais de terminaison sont très élevés, comme l'Azerbaïdjan, l'Égypte et le Myanmar.

Chaque SMS génère des revenus pour le fraudeur, qui a convenu au préalable d'un partage des frais de télécommunications avec les opérateurs locaux. Les victimes découvrent généralement le préjudice des semaines plus tard, lorsque des frais inattendus apparaissent sur leur facture téléphonique.

Les chercheurs d'Infoblox Threat Intel ont identifié et documenté intégralement cette opération.

Leur enquête a révélé qu'une simple interaction avec une fausse page CAPTCHA peut déclencher jusqu'à 60 SMS internationaux vers plus de 50 destinations, coûtant à la victime environ trente dollars par session.

Même si cela peut paraître insignifiant individuellement, l'ampleur de la menace, touchant des millions de victimes potentielles, la rend extrêmement lucrative pour les acteurs malveillants qui en sont à l'origine.

Ce qui rend cette menace particulièrement grave, c'est la manière dont les victimes arrivent sur ces pages.

La campagne utilise un système de distribution de trafic (TDS) qui achemine discrètement le trafic web à travers plusieurs couches avant de placer les utilisateurs sur une page de destination malveillante.

Des chercheurs ont retracé une chaîne d'attaque qui a débuté lorsqu'un utilisateur a visité un domaine similaire à celui d'une grande entreprise de télécommunications américaine, déclenchant une série de redirections via des nœuds TDS avant d'atterrir sur une fausse page CAPTCHA.

Cette infrastructure permet à l'opération de rester cachée aux chercheurs en sécurité et aux systèmes de détection automatisés.

Cette fraude nuit à la fois aux particuliers et aux opérateurs. Ces derniers absorbent souvent les pertes liées aux litiges clients tout en versant, à leur insu, des revenus aux fraudeurs.

Infoblox Threat Intel a observé 35 numéros de téléphone répartis dans 17 pays dans le cadre de cette campagne, et l'infrastructure est restée la même sur le même réseau depuis juin 2020. La dispersion sur de nombreux pays rend presque impossible pour un seul fournisseur de détecter toute l'étendue de l'opération.

Comment fonctionne le mécanisme d'attaque

La conception technique de ce faux CAPTCHA est simple, mais sa tromperie est efficace. Lorsqu'un utilisateur arrive sur l'une de ces pages, il voit ce qui ressemble à une tâche normale, comme identifier des animaux ou choisir des images.

Après chaque réponse, JavaScript contacte discrètement le serveur de l'attaquant, qui renvoie une liste préchargée de numéros de téléphone internationaux et un message pré-écrit.

Le téléphone de l'utilisateur ouvre alors l'application de messagerie avec ces numéros et ce texte déjà renseignés. La victime n'a plus qu'à appuyer sur Envoyer.

La campagne utilise également le détournement du bouton retour. Lorsqu'un utilisateur tente de quitter la page en appuyant sur ce bouton, un script enregistre l'URL actuelle dans l'historique du navigateur et redirige la victime vers la page CAPTCHA.

Lorsqu'un utilisateur rencontre cet acteur IRSF, il sera confronté à une série de faux CAPTCHA, chacun exigeant un SMS pour prouver qu'il est humain (Source – Infoblox).

Observée pour la première fois en janvier 2023, cette boucle maintient les utilisateurs piégés jusqu'à ce qu'ils forcent la fermeture du navigateur.

Un avertissement en bas de page présente vaguement le processus comme un échange de services, mais ne révèle jamais que des dizaines de messages internationaux payants seront envoyés, ce qui constitue une tromperie plutôt qu'une divulgation.

N'envoyez jamais de SMS dans le cadre d'un CAPTCHA ou d'une vérification en ligne, car aucun service légitime ne l'exige. Consultez votre facture téléphonique mensuelle et contactez immédiatement votre opérateur en cas de frais de SMS internationaux inattendus.

Les organisations doivent utiliser des outils de sécurité DNS pour détecter et bloquer les domaines TDS connus et les domaines de redirection malveillants.

Les opérateurs de télécommunications devraient mettre en place une surveillance en temps réel pour identifier et bloquer le trafic SMS artificiellement gonflé. Éviter les pages et fenêtres pop-up frauduleuses ne suffit pas. N'envoyez pas de SMS pour confirmer que vous êtes humain.

https://cybersecuritynews.com/hackers-use-fake-captcha-pages/