Ngày 30 tháng 5 năm 2023Ravie Lakshmanan
Các nhà nghiên cứu an ninh mạng đang cảnh báo về các dịch vụ phá CAPTCHA đang được rao bán để vượt qua các hệ thống được thiết kế để phân biệt người dùng hợp pháp với lưu lượng bot.
Trend Micro cho biết trong một báo cáo được công bố vào tuần trước: “Vì tội phạm mạng muốn phá vỡ CAPTCHA một cách chính xác, nên một số dịch vụ chủ yếu hướng đến nhu cầu thị trường này đã được tạo ra”.
“Các dịch vụ giải CAPTCHA này không sử dụng [optical character recognition] kỹ thuật hoặc phương pháp học máy tiên tiến; thay vào đó, họ phá CAPTCHA bằng cách giao nhiệm vụ phá CAPTCHA cho những người thực sự giải được.”
CAPTCHA – viết tắt của Complete Automated Public Turing test to tell Computers and Humans Apart – là một công cụ để phân biệt người dùng thực với người dùng tự động với mục tiêu chống thư rác và hạn chế tạo tài khoản giả.
Mặc dù cơ chế CAPTCHA có thể gây gián đoạn trải nghiệm người dùng, nhưng chúng được coi là phương tiện hiệu quả để chống lại các cuộc tấn công từ lưu lượng truy cập web có nguồn gốc từ bot.
Các dịch vụ giải CAPTCHA bất hợp pháp hoạt động bằng cách phân phối các yêu cầu do khách hàng gửi và ủy thác chúng cho những người giải quyết con người của họ, những người tìm ra giải pháp và gửi lại kết quả cho người dùng.
Đổi lại, điều này đạt được bằng cách gọi một API để gửi CAPTCHA và gọi một API thứ hai để nhận kết quả.
“Điều này giúp khách hàng của các dịch vụ phá CAPTCHA dễ dàng phát triển các công cụ tự động chống lại các dịch vụ web trực tuyến,” nhà nghiên cứu bảo mật Joey Costoya cho biết. “Và bởi vì con người thực sự đang giải CAPTCHA, mục đích lọc ra lưu lượng bot tự động thông qua các thử nghiệm này trở nên không hiệu quả.”
Đó chưa phải là tất cả. Người ta đã quan sát thấy những kẻ đe dọa mua các dịch vụ phá CAPTCHA và kết hợp chúng với các dịch vụ phần mềm proxy để che giấu địa chỉ IP ban đầu và tránh các rào cản chống bot.
HỘI THẢO TRỰC TUYẾN SẮP TỚI
Zero Trust + Lừa đảo: Học cách qua mặt những kẻ tấn công!
Khám phá cách Deception có thể phát hiện các mối đe dọa nâng cao, ngăn chặn chuyển động ngang và nâng cao chiến lược Zero Trust của bạn. Tham gia hội thảo trên web sâu sắc của chúng tôi!
Giữ chỗ ngồi của tôi!
Phần mềm proxy, mặc dù được bán trên thị trường như một tiện ích để chia sẻ băng thông internet chưa sử dụng của người dùng với các bên khác để đổi lấy “thu nhập thụ động”, về cơ bản biến các thiết bị chạy chúng thành proxy dân dụng.
Trong một ví dụ về dịch vụ phá CAPTCHA nhắm mục tiêu thị trường thương mại xã hội phổ biến Poshmark, các yêu cầu tác vụ bắt nguồn từ bot được định tuyến qua mạng phần mềm proxy.
Costoya cho biết: “CAPTCHA là công cụ phổ biến được sử dụng để ngăn chặn spam và lạm dụng bot, nhưng việc sử dụng ngày càng nhiều các dịch vụ phá CAPTCHA đã khiến CAPTCHA kém hiệu quả hơn”. “Mặc dù các dịch vụ web trực tuyến có thể chặn IP gốc của những kẻ lạm dụng, nhưng sự gia tăng của việc sử dụng phần mềm proxy khiến phương pháp này trở nên vô dụng như CAPTCHA.”
Để giảm thiểu những rủi ro như vậy, các dịch vụ web trực tuyến được khuyến nghị bổ sung CAPTCHA và danh sách chặn IP bằng các công cụ chống lạm dụng khác.
