Bu işte bir terslik var: Zararlı web siteleri tespit edilmemek için Captcha kullanıyor

CAPTCHA mekanizması son günlerde amacının tam tersi bir yönde kullanılmaya başladı. CAPTCHA mekanizmaları normalde bir internet sitesini ziyaret eden kullanıcının gerçek bir insan mı yoksa programlanmış bir yazılım mı olup olmadığını öğrenmek amacıyla kullanılıyor. Belirli nesneler ve görselleri tanımlatarak gerçek olmayan kullanıcıları eleme yöntemiyle güvenliği biraz olsun artırma aracı olarak kullanılıyor. Fakat her şeyde olduğu gibi burada da amacı kötü insanlar bu sistemi manipüle etmenin bir yolunu buldu ve amacından farklı bir şekilde kullanmaya başladı. Güvenlik devi Palo Alto Networks‘ün Unit 42 biriminin yayınladığı rapora göre, kimlik avı amaçlı kurulan web siteleri CAPTCHA kullanarak güvenlik yazılımlarının kötü amaçlı içeriği tespit etmesini engellemekle kalmıyor ayrıca kullanıcılara da böylece güven sağlıyor. Yeni bir teknik olmaktan hayli uzak olsa da son zamanlarda daha popüler hale geldiği biliniyor. En basitinden geçtiğimiz ay 7.572 adet bu tarzda zararlı URL tespit edildi. Saldırganlar, kimlik avı dışında kötü amaçlı yazılımların dağıtılması için de bu yöntemi kullanıyor. CAPTCHA mekanizmasını geçemediği için sitenin içeriğini tarayamayan güvenlik yazılımları kullanıcıya yükletilmek istenen zararlı içeriği indirilene kadar tespit edemiyor. Araştırmacılara göre saldırganların birden fazla kötü amaçlı web sitesinde kullanmış olduğu CAPTCHA hizmet anahtarlarının tespit edilip engellenmesi ve güvenlik yazılımları tarafından ayrıştırılmasıyla bunun önüne geçilebilir. Yayınlanan raporun tamamını okumak için buraya tıklayabilirsiniz.