ভুয়া ক্যাপচা হামলা: ক্লিকফিক্স ম্যালওয়্যার কীভাবে মানুষের বিশ্বাসকে কাজে লাগায় এবং নিরাপদ থাকতে আপনার যা জানা জরুরি

ভুয়া ক্যাপচা ম্যালওয়্যার হামলার উত্থান বুঝে নিন

ক্যাপচা ব্যবস্থা—বিকৃত অক্ষর শনাক্ত করা বা ছবি বেছে নেওয়ার সেই পরিচিত ধাঁধাগুলো—অনলাইন নিরাপত্তার ভিত্তিগুলোর একটি। এগুলো মানুষকে বট থেকে আলাদা করার জন্য তৈরি, যাতে ওয়েবসাইটগুলো স্প্যাম, স্বয়ংক্রিয় অপব্যবহার এবং চুরি করা পরিচয়তথ্য দিয়ে বারবার লগইনের চেষ্টা থেকে সুরক্ষিত থাকে। তবে এসব ব্যবস্থা সর্বত্র ছড়িয়ে পড়ায় সাইবার অপরাধীরা ক্যাপচার ওপর ব্যবহারকারীদের আস্থাকে অস্ত্র হিসেবে কাজে লাগানোর উপায় খুঁজে পেয়েছে। এর ফলে সামাজিক প্রকৌশলভিত্তিক নতুন ও অত্যন্ত কার্যকর এক ধরনের হামলার উত্থান ঘটেছে: ভুয়া ক্যাপচা ম্যালওয়্যার প্রচারণা, যার উল্লেখযোগ্য একটি পদ্ধতির নাম ClickFix।

এই নিবন্ধে ভুয়া ক্যাপচা হামলা কীভাবে কাজ করে, এর পেছনে থাকা প্রযুক্তিগত ও মনস্তাত্ত্বিক কৌশল, এর মাধ্যমে ছড়ানো ম্যালওয়্যার (যেমন Lumma Stealer) এবং ব্যক্তি ও প্রতিষ্ঠান নিজেদের সুরক্ষায় কী কী বাস্তব পদক্ষেপ নিতে পারে, তা তুলে ধরা হয়েছে।

ভুয়া ক্যাপচা হামলা কী?

ভুয়া ক্যাপচা হামলায় সাইবার অপরাধীরা এমন একটি ওয়েবপেজ বা পপ-আপ তৈরি করে, যা গুগলের reCAPTCHA বা Cloudflare-এর চ্যালেঞ্জ স্ক্রিনের মতো বৈধ ক্যাপচা ব্যবস্থার হুবহু অনুকরণ করে। এসব জালিয়াতি এতটাই বিশ্বাসযোগ্য যে অভিজ্ঞ ব্যবহারকারীরাও কিছু ভুল আছে বলে বুঝতে নাও পারেন। সাধারণত হামলাটি এভাবে এগোয়:

• ফিশিং ইমেইল, ভুয়া বিজ্ঞাপন বা হ্যাক হওয়া বৈধ সাইটের মাধ্যমে ভুক্তভোগীকে ক্ষতিকর ওয়েবসাইটে নিয়ে যাওয়া হয়।
• সাইটটিতে ভুয়া ক্যাপচা দেখানো হয়, যেখানে ব্যবহারকারীকে প্রমাণ করতে বলা হয় যে তিনি রোবট নন।
• ব্যবহারকারী ক্যাপচার সঙ্গে মিথস্ক্রিয়া করার পর তাঁকে আরও নির্দেশনা দেওয়া হয়—যেমন কম্পিউটারের Run ডায়ালগ বা টার্মিনালে একটি কমান্ড কপি করে পেস্ট করতে বলা।
• নির্দেশনা অনুসরণ করলে ক্ষতিকর কোড চালু হয় এবং ডিভাইসে ম্যালওয়্যার সংক্রমিত হয়।

এই পদ্ধতিটি বিশেষভাবে বিপজ্জনক, কারণ এতে নিরাপত্তা নিয়ন্ত্রণ এড়াতে ব্যবহারকারীর নিজের কাজকেই কাজে লাগানো হয়। ফলে হামলা শনাক্ত ও প্রতিরোধ করা আরও কঠিন হয়ে পড়ে।

ক্লিকফিক্স: হামলার পেছনের সামাজিক প্রকৌশল কৌশল

ClickFix বলতে এমন একটি সামাজিক প্রকৌশল কৌশলকে বোঝায়, যার মাধ্যমে ব্যবহারকারীদের দিয়ে নিজেরাই ক্ষতিকর কমান্ড চালানো হয়। সফটওয়্যারের দুর্বলতা কাজে লাগানো বা সংক্রমিত ফাইল ডাউনলোড করিয়ে নেওয়ার ওপর নির্ভরশীল প্রচলিত ম্যালওয়্যারের বিপরীতে, ক্লিকফিক্স ব্যবহারকারীদের এমন কমান্ড চালাতে প্ররোচিত করে, যা ম্যালওয়্যার ইনস্টল করে—প্রায়ই আপাতদৃষ্টিতে নিরীহ কিছু ধাপের আড়ালে।

উদাহরণস্বরূপ, একটি ভুয়া ক্যাপচায় ব্যবহারকারীকে বলা হতে পারে:

• Run ডায়ালগ খুলতে Windows Key + R চাপুন।
• দেওয়া কমান্ডটি পেস্ট করুন (সাধারণত PowerShell বা mshta.exe স্ক্রিপ্ট)।
• চালু করতে Enter চাপুন।

স্বাভাবিক যাচাইকরণ প্রক্রিয়ার অংশ বলে মনে হওয়া এই ধাপগুলো আসলে Lumma Stealer, AsyncRAT বা তথ্য চুরিকারী অন্যান্য ট্রোজানের মতো ম্যালওয়্যার ডাউনলোড ও চালু করে।

ভুয়া ক্যাপচা হামলা যেভাবে ছড়ায়: বাস্তব উদাহরণ

বিশ্বজুড়ে ব্যক্তি ও প্রতিষ্ঠানকে লক্ষ্য করে নানা পরিস্থিতিতে ভুয়া ক্যাপচা হামলার ঘটনা দেখা গেছে। উল্লেখযোগ্য প্রচারণাগুলোর মধ্যে রয়েছে:

• Booking.com ফিশিং: হামলাকারীরা জনপ্রিয় হোটেল বুকিং সাইটটির ছদ্মবেশ ধারণ করে ফিশিং ইমেইল পাঠায়, যা ব্যবহারকারীদের জাল ক্যাপচাসহ ভুয়া Booking.com পেজে নিয়ে যায়। নির্দেশনা অনুসরণ করায় ভুক্তভোগীদের ডিভাইসে এমন ম্যালওয়্যার ইনস্টল হয়, যা তাঁদের পরিচয়তথ্য ও ব্যক্তিগত ডেটা চুরি করে।
• ক্ষতিকর বিজ্ঞাপন ও SEO-ভিত্তিক প্রতারণা: জনপ্রিয় সফটওয়্যার, গান বা সিনেমার ভুয়া ডাউনলোড সাইট সামনে আনতে সাইবার অপরাধীরা সার্চ ইঞ্জিন অপটিমাইজেশন (SEO) কৌশল ও ক্ষতিকর বিজ্ঞাপন ব্যবহার করেছে। সংক্রমণের আগে এসব সাইটে ভুয়া ক্যাপচা দেখানো হয়।
• হ্যাক হওয়া বৈধ সাইট: বিশ্বাসযোগ্য ওয়েবসাইটও হ্যাক করে সেখানে ভুয়া ক্যাপচা পপ-আপ দেখানো হতে পারে, যা হামলাটিকে আরও বিশ্বাসযোগ্য করে তোলে।

নিরাপত্তা প্রতিষ্ঠান LAC-এর তথ্য অনুযায়ী, ২০২৪ সালের শেষ দিক থেকে একাধিক গ্রাহক-পরিবেশে ক্লিকফিক্স-সংশ্লিষ্ট ঘটনা শনাক্ত হয়েছে এবং ২০২৫ সালে তা উল্লেখযোগ্যভাবে বেড়েছে। হামলাগুলো শুধু জাপানে সীমাবদ্ধ নয়; যুক্তরাষ্ট্র, ইউরোপ ও এশিয়াতেও এসবের খবর পাওয়া গেছে। টেলিযোগাযোগ ও স্বাস্থ্যসেবা থেকে শুরু করে অর্থায়ন এবং আতিথেয়তা শিল্প পর্যন্ত বিভিন্ন খাত এতে ক্ষতিগ্রস্ত হয়েছে।

এই হামলাগুলো এত কার্যকর কেন?

ভুয়া ক্যাপচা হামলা কয়েকটি মনস্তাত্ত্বিক ও প্রযুক্তিগত বিষয়কে কাজে লাগায়:

• পরিচিতি ও আস্থা: ব্যবহারকারীরা ক্যাপচা দেখতে অভ্যস্ত, তাই এগুলোর বৈধতা নিয়ে খুব কমই প্রশ্ন তোলেন।
• একঘেয়ে কাজের ক্লান্তি: ঘন ঘন ক্যাপচা দেখার ফলে “যাচাইকরণে ক্লান্তি” তৈরি হতে পারে, যা ব্যবহারকারীদের সতর্কতা কমিয়ে দেয়।
• সামাজিক প্রকৌশল: ধাপে ধাপে নির্দেশনাগুলোকে যাচাইকরণের জন্য জরুরি বলে উপস্থাপন করা হয়, ফলে সন্দেহ কমে যায়।
• নিরাপত্তা নিয়ন্ত্রণ এড়ানো: ব্যবহারকারী নিজেই কমান্ড চালু করায় এন্ডপয়েন্ট নিরাপত্তা সমাধানগুলো কাজটিকে বৈধ বলে ধরে নিতে পারে, ফলে হামলা শনাক্ত করা কঠিন হয়।

মুখোশের আড়ালের ম্যালওয়্যার: Lumma Stealer ও অন্যান্য

ভুয়া ক্যাপচা হামলার মাধ্যমে ছড়ানো সবচেয়ে সাধারণ ম্যালওয়্যারগুলোর একটি হলো Lumma Stealer। এটি তথ্য চুরিকারী ম্যালওয়্যার (ইনফোস্টিলার), যা ২০২২ সালে আবির্ভাবের পর থেকে সাইবার অপরাধীদের মধ্যে দ্রুত জনপ্রিয়তা পেয়েছে। Lumma Stealer ডার্ক ওয়েব ফোরাম ও Telegram চ্যানেলে বিক্রি হয়, প্রায়ই Malware-as-a-Service (MaaS) হিসেবে। ফলে এটি নানা ধরনের হামলাকারীর নাগালে চলে এসেছে।

Lumma Stealer কী করে?

ইনস্টল হওয়ার পর Lumma Stealer যা করতে পারে:

• ব্রাউজারে সংরক্ষিত পাসওয়ার্ড ও কুকি সংগ্রহ করা।
• ক্রিপ্টোকারেন্সি ওয়ালেটের পরিচয়তথ্য (যেমন MetaMask, Binance) চুরি করা।
• টু-ফ্যাক্টর অথেনটিকেশন (2FA) ডেটা ও ব্রাউজার এক্সটেনশন সংগ্রহ করা।
• রিমোট ডেস্কটপের পরিচয়তথ্যসহ সিস্টেম ও অ্যাপ্লিকেশনের ডেটা সংগ্রহ করা।
• হামলাকারীদের নিয়ন্ত্রণে থাকা দূরবর্তী সার্ভারে ফাইল ও সংবেদনশীল তথ্য পাঠিয়ে দেওয়া।

এসব প্রচারণায় শনাক্ত হওয়া অন্য ম্যালওয়্যার পরিবারের মধ্যে রয়েছে AsyncRAT, Vidar Stealer, XWorm এবং বিভিন্ন রিমোট অ্যাকসেস ট্রোজান (RAT)। সংক্রমণের ধাপে শনাক্তকরণ এড়াতে অস্পষ্ট করা স্ক্রিপ্ট, লুকানো কোডযুক্ত ছবি (.png, .gif) এবং একাধিক ধাপে ছড়ানো পেলোডও ব্যবহার করা হতে পারে।

প্রযুক্তিগত বিবরণ: হামলাটি যেভাবে কাজ করে

নিরাপত্তা গবেষকেরা হামলার প্রযুক্তিগত ধাপগুলো এভাবে নথিবদ্ধ করেছেন:

• প্রায়ই ফিশিং লিংক বা ক্ষতিকর বিজ্ঞাপনের মাধ্যমে ভুয়া ক্যাপচা পেজটি খোলে।
• ব্যবহারকারী ক্যাপচা পূরণ করার পর তাঁকে একটি কমান্ড চালাতে বলা হয় (যেমন Windows Run ডায়ালগ বা macOS টার্মিনালের মাধ্যমে)।
• কমান্ডটি সাধারণত PowerShell বা mshta.exe চালু করে, যা দূরবর্তী সার্ভার থেকে একটি স্ক্রিপ্ট ডাউনলোড করে চালায়।
• স্ক্রিপ্টটি ম্যালওয়্যার পেলোড (যেমন Lumma Stealer-সহ একটি ZIP ফাইল) ডাউনলোড করে, যা পরে ভুক্তভোগীর কম্পিউটারে চালু হয়।
• ম্যালওয়্যার ডেটা বাইরে পাঠানো শুরু করে; নেটওয়ার্ক নজরদারি এড়াতে প্রায়ই এনক্রিপ্ট করা HTTPS সংযোগ ব্যবহার করে।

কিছু প্রচারণায় হামলাটি আরও আড়াল করতে আপাতদৃষ্টিতে নিরীহ ফাইল (যেমন MP3 বা PDF)-এর মধ্যে এমবেড করা অস্পষ্ট JavaScript ব্যবহার করা হয়েছে।

বিশ্বজুড়ে প্রভাব ও উল্লেখযোগ্য ঘটনা

ভুয়া ক্যাপচা হামলার কারণে বিশ্বজুড়ে উল্লেখযোগ্য আর্থিক ক্ষতি ও ডেটা হারানোর ঘটনা ঘটেছে। Norton ও Avast-এর মূল প্রতিষ্ঠান Gen Digital-এর তথ্য অনুযায়ী, ২০২৪ সালে জাপানে ভুয়া ক্যাপচা কাজে লাগানো ফিশিং ও ম্যালওয়্যার হামলা ৬০০ শতাংশেরও বেশি বেড়েছে; বিশ্বজুড়েও একই ধরনের প্রবণতা দেখা গেছে। এ ধরনের হামলায় প্রতিবেদিত মোট ক্ষতির পরিমাণ শত শত মিলিয়ন ডলারে পৌঁছেছে।

সবচেয়ে বেশি ক্ষতিগ্রস্ত শিল্পগুলোর মধ্যে রয়েছে:

• টেলিযোগাযোগ – গ্রাহক ও অবকাঠামো-সংক্রান্ত ডেটাকে লক্ষ্যবস্তু করা হয়।
• স্বাস্থ্যসেবা – চিকিৎসা পোর্টাল ও রোগীদের ডেটায় হামলা।
• অর্থায়ন ও ব্যাংকিং – পরিচয়তথ্য চুরি করে অননুমোদিত লেনদেন করা।
• আতিথেয়তা – Booking.com ও এ ধরনের প্ল্যাটফর্মকে প্রলোভন হিসেবে ব্যবহার করা।

উত্তর কোরিয়া, ইরান ও রাশিয়ার রাষ্ট্র-সমর্থিত গোষ্ঠীসহ APT (Advanced Persistent Threat) গোষ্ঠীগুলোও ক্লিকফিক্স-ধাঁচের হামলা গ্রহণ করেছে। তারা গুপ্তচরবৃত্তি এবং কর্পোরেট নেটওয়ার্কে দীর্ঘমেয়াদি প্রবেশাধিকার ধরে রাখতে এসব হামলা ব্যবহার করছে।

ভুয়া ক্যাপচা হামলা চেনা ও প্রতিরোধের উপায়

এসব হামলা যতটা জটিল হয়ে উঠেছে, তাতে প্রযুক্তিগত ও আচরণগত—দুই ধরনের প্রতিরক্ষাই জরুরি। যা জানা দরকার:

সতর্কসংকেত: ভুয়া ক্যাপচা কীভাবে চিনবেন

• অস্বাভাবিক নির্দেশনা: বৈধ ক্যাপচা কখনোই আপনাকে সিস্টেম কমান্ড চালাতে, Run ডায়ালগ খুলতে বা টার্মিনালে কোড পেস্ট করতে বলে না।
• সফটওয়্যার ডাউনলোড বা ইনস্টল করার অনুরোধ: ফাইল বা ব্রাউজার এক্সটেনশন ডাউনলোড করতে বললে সতর্ক থাকুন।
• অপ্রত্যাশিত পপ-আপ: অপরিচিত বা সন্দেহজনক ওয়েবসাইটে, বিশেষত বিজ্ঞাপনে ক্লিক করার পর বা অযাচিত ইমেইলের লিংকে ক্লিক করলে ক্যাপচা দেখা দেওয়া।
• অদ্ভুত URL: ওয়েবসাইটের ঠিকানা সতর্কভাবে যাচাই করুন। ভুয়া ক্যাপচা প্রায়ই বানান ভুল থাকা বা প্রত্যাশিত সেবার সঙ্গে সম্পর্কহীন ডোমেইনে দেখা যায়।

ব্যক্তিদের জন্য করণীয়

• অবিশ্বস্ত উৎসের নির্দেশনায় কখনো কমান্ড চালাবেন না। কোনো ক্যাপচা Run ডায়ালগ বা টার্মিনাল খুলতে বললে সঙ্গে সঙ্গে পেজটি বন্ধ করুন।
• ওয়েবসাইটটি বৈধ কি না যাচাই করুন। ইমেইল বা বিজ্ঞাপনের লিংকে ক্লিক না করে URL টাইপ করে সরাসরি সাইটে যান।
• সফটওয়্যার ও অপারেটিং সিস্টেম হালনাগাদ রাখুন। নিরাপত্তা আপডেট দুর্বলতার সুযোগ নিয়ে হামলা ঠেকাতে সাহায্য করতে পারে।
• বিশ্বস্ত নিরাপত্তা সফটওয়্যার ব্যবহার করুন। রিয়েল-টাইম সুরক্ষা চালু রাখুন এবং এর সংজ্ঞা-তথ্য হালনাগাদ করুন।
• নিজে সচেতন হন এবং অন্যদেরও সচেতন করুন। সামাজিক প্রকৌশল থেকে সুরক্ষার সেরা উপায় হলো সচেতনতা।

প্রতিষ্ঠানের জন্য করণীয়

• প্রযুক্তিগত নিয়ন্ত্রণ চালু করুন: Group Policy বা এন্ডপয়েন্ট ব্যবস্থাপনা সরঞ্জামের মাধ্যমে প্রশাসনিক অধিকারবিহীন ব্যবহারকারীদের PowerShell বা mshta.exe কমান্ড চালানোর ক্ষমতা সীমিত করুন।
• সন্দেহজনক কার্যকলাপ পর্যবেক্ষণ করুন: অস্বাভাবিক কমান্ড চালানো ও নেটওয়ার্ক ট্রাফিক শনাক্ত করতে Endpoint Detection and Response (EDR) সমাধান ব্যবহার করুন।
• পরিচিত ক্ষতিকর ডোমেইন ও URL ব্লক করুন: ব্লকলিস্ট হালনাগাদ রাখুন এবং ওয়েব ফিল্টারিং সমাধান ব্যবহার করুন।
• মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) বাধ্যতামূলক করুন: পরিচয়তথ্য চুরির প্রভাব কমান।
• নিয়মিত নিরাপত্তা-সচেতনতা প্রশিক্ষণের আয়োজন করুন: কর্মীদের ফিশিং ও সামাজিক প্রকৌশল কৌশল চিনতে শেখান।
• ঘটনা মোকাবিলার পরিকল্পনা তৈরি রাখুন: সংক্রমিত এন্ডপয়েন্ট দ্রুত বিচ্ছিন্ন করে তদন্ত নিশ্চিত করুন।

সংক্রমণের সন্দেহ হলে কী করবেন

আপনি যদি মনে করেন ভুয়া ক্যাপচা হামলার শিকার হয়েছেন:

• আরও ডেটা বাইরে পাঠানো ঠেকাতে সঙ্গে সঙ্গে নেটওয়ার্ক থেকে সংযোগ বিচ্ছিন্ন করুন।
• প্রাতিষ্ঠানিক পরিবেশে থাকলে IT বা নিরাপত্তা দলের সঙ্গে যোগাযোগ করুন।
• বিশ্বস্ত নিরাপত্তা সফটওয়্যার দিয়ে সম্পূর্ণ ম্যালওয়্যার স্ক্যান চালান।
• সংক্রমিত ডিভাইস থেকে ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলে ফেলুন, বিশেষ করে ব্যাংকিং, ইমেইল ও ক্লাউড স্টোরেজের মতো সংবেদনশীল সেবার।
• অ্যাকাউন্টে সন্দেহজনক কার্যকলাপ আছে কি না নজর রাখুন এবং MFA-এর মতো অতিরিক্ত নিরাপত্তাব্যবস্থা চালু করার কথা বিবেচনা করুন।

ভুয়া ক্যাপচা হামলা সাইবার অপরাধের নতুন যুগের ইঙ্গিত কেন

বিশেষত ক্লিকফিক্স ব্যবহার করা ভুয়া ক্যাপচা হামলা সাইবার অপরাধের উল্লেখযোগ্য বিবর্তনের পরিচায়ক। পরিচিত নিরাপত্তাব্যবস্থার ওপর ব্যবহারকারীদের আস্থাকে কাজে লাগিয়ে এবং সামাজিক প্রকৌশলের আশ্রয় নিয়ে হামলাকারীরা প্রচলিত অনেক প্রতিরক্ষা এড়িয়ে যেতে পারে। ব্যবহারকারী নিজে কাজ শুরু করেন বলে এসব হামলা শনাক্ত করা কঠিন; আর এর মাধ্যমে ছড়ানো ম্যালওয়্যারও ক্রমশ জটিল ও বিভিন্ন অংশে ভাগ করা হচ্ছে।

সাইবার অপরাধীরা কৌশল আরও নিখুঁত করে চলায় অনলাইনে বৈধ ও ক্ষতিকর অভিজ্ঞতার মধ্যকার সীমারেখা ক্রমেই অস্পষ্ট হচ্ছে। এই প্রবণতা প্রযুক্তিগত নিয়ন্ত্রণের পাশাপাশি ব্যবহারকারীদের শিক্ষা ও সতর্কতা নিশ্চিত করার গুরুত্ব তুলে ধরে।

সংক্ষেপে

• ভুয়া ক্যাপচা হামলায় নিরাপত্তা যাচাইয়ের ধাঁধার বিশ্বাসযোগ্য জাল রূপ ব্যবহার করে ব্যবহারকারীদের দিয়ে নিজেদের ডিভাইসে ম্যালওয়্যার চালানো হয়।
• ক্লিকফিক্স পদ্ধতিতে ব্যবহারকারীদের ক্ষতিকর কমান্ড চালাতে প্ররোচিত করা হয়, ফলে অনেক নিরাপত্তা নিয়ন্ত্রণ এড়িয়ে যাওয়া সম্ভব হয়।
• Lumma Stealer ও এ ধরনের ম্যালওয়্যার পাসওয়ার্ড, আর্থিক তথ্যসহ আরও অনেক কিছু চুরি করতে পারে, যার ফলে ব্যক্তি ও প্রতিষ্ঠানের বড় ধরনের ক্ষতি হয়।
• হামলাগুলো বিশ্বজুড়ে ছড়িয়ে পড়ছে এবং নানা শিল্প ও ব্যক্তিকে লক্ষ্যবস্তু করছে।
• ক্যাপচা সিস্টেম কমান্ড চালাতে বা ফাইল ডাউনলোড করতে বললে সতর্ক হোন—বৈধ ক্যাপচা কখনোই তা করে না।
• প্রতিরোধে প্রযুক্তিগত নিয়ন্ত্রণ, হালনাগাদ নিরাপত্তা সফটওয়্যার এবং ব্যবহারকারীদের সচেতনতার সমন্বয় দরকার।
• সংক্রমিত হলে নেটওয়ার্ক থেকে সংযোগ বিচ্ছিন্ন করুন, ম্যালওয়্যার স্ক্যান চালান, পাসওয়ার্ড বদলান এবং পেশাদার সহায়তা নিন।
• অনলাইনে অপ্রত্যাশিত নির্দেশনা সম্পর্কে সতর্ক ও সন্দিহান থাকাই সাইবার হুমকির এই নতুন ঢেউ থেকে সুরক্ষার সেরা উপায়।