FakeCAPTCHA

🔍 Contexte Publié le 23 juin 2026 par SicuraNext (blog.sicuranext.com), cet article présente une recherche read-only menée le 11 juin 2026 sur une campagne active exploitant CVE-2026-26980, une injection SQL dans l’API publique Content de Ghost CMS (versions 3.24.0 à 6.19.0, corrigée en 6.19.1 en février 2026). ⚙️ Mécanisme d’attaque L’exploitation se déroule en deux étapes : Lecture via Content API (sans authentification) pour extraire la clé Admin API stockée en base de données Écriture via Admin API avec la clé volée pour injecter un loader JavaScript malveillant dans les corps de posts Le loader injecté (ghost_once_footer_<id>) utilise une porte localStorage (exécution unique par navigateur), encode l’origine victime via btoa(location.origin), et charge un second stage depuis un C2 via une URL base64 encodée. La chaîne mène à une page FakeCAPTCHA/ClickFix incitant les visiteurs à exécuter des commandes ou installer un malware. ...

L’analyse publiée par Gi7w0rm relate une attaque de type FakeCaptcha qui a compromis le site légitime de l’Association Allemande pour le Droit International. Un utilisateur a été redirigé vers une page Captcha frauduleuse, prétendant être sécurisée par Cloudflare, qui lui demandait d’exécuter une commande Powershell. Cette commande effectuait une requête Web vers un site distant (amoliera[.]com) et utilisait Invoke-Expression pour exécuter le code malveillant reçu. L’attaque illustre une méthode où les attaquants exploitent la confiance des utilisateurs envers les Captchas, qui sont normalement conçus pour différencier les humains des bots. ...

Selon une publication de Malwarebytes, des cybercriminels exploitent la saison des vacances pour lancer une campagne de redirection via des sites de jeux et des réseaux sociaux vers de faux sites se faisant passer pour Booking.com. Cette campagne a commencé à mi-mai et les destinations de redirection changent tous les deux à trois jours. Les utilisateurs sont dirigés vers des sites utilisant une fausse CAPTCHA pour accéder au presse-papiers des visiteurs et les inciter à exécuter un commande PowerShell malveillante. Cette commande télécharge et exécute un fichier détecté comme Backdoor.AsyncRAT, permettant aux attaquants de contrôler à distance les appareils infectés. ...