Сайт просит нажать Win+X и вставить команду: как работает фальшивая проверка «Я не робот»

Вы открываете обычный сайт — магазин, сайт компании, справочник. Поверх страницы появляется знакомое окошко с галочкой «I'm not a robot» и логотипом проверки. Вы ставите галочку, и окошко раскрывается в «дополнительную проверку»:

• нажмите сочетание клавиш Windows + X, чтобы открыть меню;
• нажмите I, чтобы открыть Windows PowerShell или Терминал;
• в окне проверки нажмите Ctrl + V;
• нажмите Enter, чтобы завершить проверку.

На Mac текст другой: откройте программу «Терминал» (Программы → Утилиты → Терминал), нажмите Command + V и Enter. Сайт сам определяет, с какого компьютера вы зашли, и показывает нужную версию.

Ниже — безопасный тренажёр. Он повторяет то, что видел посетитель взломанного сайта, но ничего не копирует в буфер обмена и ничего не запускает.

В момент, когда вы ставите галочку, сайт молча копирует в буфер обмена команду. Сочетание Windows + X и клавиша I открывают окно, в котором можно выполнять команды на компьютере. Ctrl + V вставляет туда команду, Enter её запускает — с вашими правами.

Инструкция обещает, что в окне вы увидите строку «I am not a robot — reCAPTCHA Verification ID: 146820». Скорее всего, это хвост самой команды: человек видит знакомые слова и не присматривается к началу.

Что именно запускает команда, решают злоумышленники, и от кампании к кампании это разное. В разобранном нами образце команда приходит отдельно для каждого посетителя, поэтому её содержимое мы не знаем. Безопасное предположение одно: если команда выполнена, компьютер заражён.

Настоящие проверки на робота ведут себя иначе:

• просят поставить галочку, выбрать картинки, передвинуть ползунок или ничего не делать;
• работают только внутри страницы;
• никогда не просят нажимать сочетания клавиш, открывать «Выполнить», PowerShell, Терминал или командную строку;
• никогда не просят ничего вставлять в системные окна.

Одного правила достаточно: сайт, который просит открыть системное окно и что-то туда вставить, — это атака. Закройте вкладку.

1. Отключите компьютер от интернета. Выдерните кабель или выключите Wi-Fi. Это прервёт передачу данных, если она идёт.
2. С другого устройства смените пароли. Почта — в первую очередь, потому что через неё восстанавливают все остальные пароли. Затем банки, мессенджеры, соцсети, рабочие системы, криптокошельки. Включите двухфакторный вход.
3. Завершите чужие сеансы. В почте, Telegram, соцсетях есть список активных устройств — выйдите со всех, кроме своих.
4. Проверьте компьютер антивирусом. Полной проверкой, не быстрой. Если компьютер рабочий, сообщите в IT-отдел: им нужно знать, что он мог стать входом в сеть компании.
5. Если на компьютере были доступы к деньгам — банк-клиент, кошельки, — позвоните в банк и проверьте операции.
6. Не используйте компьютер для важного, пока его не проверили. Надёжнее всего — переустановить систему.

Если посетители пишут, что ваш сайт просит «пройти проверку» через PowerShell, значит, сайт взломан, и через него заражают людей. Это не проблема отдельного посетителя.

• Остановите вред. Закройте сайт заглушкой или уберите вредоносный код. Каждый час работы сайта — новые заражённые посетители.
• Не ищите только глазами. Ловушка показывается не всем: она прячется от программ проверки и, судя по коду, может не показываться повторно тому, кто уже «прошёл проверку». Вы можете открыть свой сайт и ничего не увидеть.
• Ищите в базе данных, а не только в файлах. В нашем случае код был встроен в настройки шаблона, которые хранятся в базе.
• Закройте дыру. Код встроили через уязвимость в шаблоне сайта. Пока она открыта, его встроят снова.

Такую ловушку мы нашли на сайте клиента на Joomla: её встроили через дыру в шаблоне Helix3. Общий порядок действий при взломе — в пошаговом разборе. Если нужна помощь, напишите нам через форму под статьёй.

Код на взломанном сайте — только маленький загрузчик. Всё остальное он берёт из блокчейна: смарт-контракта в тестовой сети BNB Smart Chain. Приём называют EtherHiding, его описывала Google Threat Intelligence. Злоумышленникам это удобно: запись в блокчейне нельзя удалить или заблокировать, как обычный сервер, а новую версию ловушки можно выложить, не трогая взломанный сайт.

Ещё одна деталь из нашего образца: злоумышленники считают, сколько людей «прошли проверку», в собственном счётчике Яндекс Метрики. Так же, как интернет-магазин считает покупки.

Образец снят 5 ноября 2026 года со взломанного сайта клиента на Joomla. Ступени расшифрованы статически, без выполнения.

1. Загрузчик. Встроенный <script> в <head> (поле custom_js шаблона Helix3) подключает data:text/javascript;base64,…. Он делает eth_call с селектором 0x6d4ce63c к контракту 0xE75744C53eC0914fE9bE92847019D3d7122B6b77 в тестовой сети BSC через восемь публичных RPC-узлов и выполняет ответ: eval(atob(result)).
2. Маршрутизатор. Проверяет признаки автоматизации (navigator.webdriver, headless-браузер, localhost) и при срабатывании пишет в консоль stop watching us :). Затем выбирает контракт по системе: 0x4a0e8aC014cafcb0AfF9E90F68D6C0E0c031360d — Windows, 0x0f14777C78d402BED55a67A6eB55Dc87Cc0B050a — macOS.
3. Распаковка. base64 плюс gzip, затем (0,eval).
4. Приманка. Ещё раз проверяет автоматизацию (HeadlessChrome, PhantomJS, Puppeteer, Playwright, нулевой размер окна) и рисует виджет под reCAPTCHA с классом cjs-container; тексты зашифрованы base64. Идентификатор посетителя — IP с ip-info.ff.avast.com/v2/info или случайная строка в cookie cjs_id на два дня. Контракт 0xf4a32588b50a59a82fbA148d436081A48d80832A спрашивается функцией isGoalReached — по названию, проверка, выполнил ли посетитель команду. Команда кладётся в буфер через navigator.clipboard.writeText. Конверсии — в счётчик Яндекс Метрики 110784881.

Что проверить на своём сайте: поиск по коду страниц и базе строк data:text/javascript;base64, eth_call, bnbchain.org, cjs_id, clipboard.writeText. Открывать подозрительную страницу для проверки стоит в изолированном браузере, а лучше смотреть исходный код без выполнения.

На уровне компании защиту дают групповые политики, которые запрещают обычным пользователям запускать PowerShell и окно «Выполнить», и обучение сотрудников одному правилу из этой статьи.