据研究人员称，网络攻击者正在使用Google的reCAPTCHA（又名“我不是机器人”功能）和类似CAPTCHA的伪造服务来掩饰各种网络钓鱼攻击和其他犯罪活动。然而，有迹象表明这些努力可能正在失去效力。验证码是大多数互联网用户熟悉的工具，用于确认用户是人类。这种类似图灵测试的工具通常让用户点击网格中包含特定对象的所有照片，或者输入模糊或扭曲的字母或单词。该工具用于防止电子商务和在线帐户站点上的机器人访问网页，它们对攻击者也有同样的作用。PaloAltoNetworks的Unit42在周五的一篇文章中表示，将网络钓鱼内容隐藏在验证码后面可以防止安全爬虫检测到恶意内容，同时还可以使网络钓鱼登录页面看起来更合法。虽然这不是一项新技术，但近来它也变得越来越流行。就在上个月，该公司在4,088个付费域中发现了7,572个独特的恶意URL，所有这些都使用混淆加密。这意味着平均每天出现529个受验证码保护的新恶意URL。不寻常的网络钓鱼：新的恶意URL根据第42单元的说法，除了永无止境的网络钓鱼活动外，使用CAPTCHA规避的诈骗和恶意网关也在增加。调查和彩票诈骗是一些最常见的灰色软件页面，攻击者在这些页面中诱使用户泄露敏感的个人信息，包括地址、出生日期、银行详细信息、年收入等，以换取虚假付款或赢得奖品的机会.研究人员说，通常情况下，如果这些页面被认为是基于其IP和浏览器版本的自动爬虫，它们只会显示验证码，以便它们可以吸引尽可能多的访问者。另一个不断增长的攻击媒介是滥用合法验证码服务的软件交付页面。例如，URLhxxps://davidemoscato[.com]提供一个恶意JAR文件，该文件通过使用CAPTCHA保护页面来绕过安全扫描器。如何找到受验证码保护的恶意站点好消息是，通过验证码密钥的关联可以检测网络钓鱼页面，Unit42的研究人员说。放置验证码的页面发送一些子请求，这些子请求可以用HTML解析包含在URL参数中使用的reCAPTCHAAPI密钥，研究人员说。这个标识符可以被解析出来，在其他页面上搜索。“我们已经看到许多恶意活动重复使用CAPTCHA服务密钥，要么是为了简化他们的恶意软件基础设施，要么是通过创建过多的CAPTCHA帐户和密钥来避免合法的reCAPTCHA，”他们解释说。供应商阻止。”报告称，例如，在一个案例中，进行Microsoft凭据盗窃的网页使用与AppleID网络钓鱼所用URL相同的密钥。“大规模网络钓鱼和灰色软件活动如今变得如此复杂，以至于它们使用规避技术来逃避自动安全爬虫的检测，”研究人员总结道。当系统中使用基础设施、服务或工具时，我们有机会使用这些指标来对付它们。验证码标识符是这种相关性检测的一个很好的例子”本文翻译自：https://threatpost.com/cyberattackers-captchas-phishing-malware/168684/
