Fake-Captcha-Security-Tutorial
<title>Lobi GmbH - Anti-Scam & Verification Education Center</title> <style> :root { --bg-color: #f8fafc; --text-color: #0f172a; --card-bg: #ffffff; --accent-danger: #ef4444; --accent-success: #22c55e; --primary: #2563eb; --primary-dark: #1d4ed8; --border-color: #e2e8f0; } body {
font-family: system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
line-height: 1.6;
background-color: var(--bg-color);
color: var(--text-color);
margin: 0;
padding: 0;
}
header {
background: linear-gradient(135deg, #1e293b, #0f172a);
color: white;
text-align: center;
padding: 4rem 1rem;
border-bottom: 4px solid var(--primary);
}
.logo-area {
font-size: 1.2rem;
font-weight: bold;
letter-spacing: 1px;
color: #94a3b8;
margin-bottom: 0.5rem;
text-transform: uppercase;
}
.lang-selector {
margin-top: 1.5rem;
display: flex;
justify-content: center;
gap: 0.5rem;
flex-wrap: wrap;
}
.lang-selector button {
background: #334155;
color: white;
border: 1px solid #475569;
padding: 0.5rem 1rem;
border-radius: 6px;
cursor: pointer;
transition: all 0.2s;
}
.lang-selector button.active, .lang-selector button:hover {
background: var(--primary);
border-color: var(--primary);
}
.container {
max-width: 1100px;
margin: 3rem auto;
padding: 0 1.5rem;
}
.card {
background: var(--card-bg);
border-radius: 16px;
padding: 2.5rem;
margin-bottom: 2.5rem;
box-shadow: 0 10px 15px -3px rgba(0, 0, 0, 0.05), 0 4px 6px -4px rgba(0, 0, 0, 0.05);
border: 1px solid var(--border-color);
}
h2 {
margin-top: 0;
color: #1e293b;
font-size: 1.75rem;
border-bottom: 2px solid var(--border-color);
padding-bottom: 0.75rem;
}
h3 {
color: #334155;
font-size: 1.3rem;
margin-top: 1.5rem;
}
.grid-2 {
display: grid;
grid-template-columns: 1fr 1fr;
gap: 2rem;
}
.grid-3 {
display: grid;
grid-template-columns: 1fr 1fr 1fr;
gap: 1.5rem;
}
@media (max-width: 768px) {
.grid-2, .grid-3 { grid-template-columns: 1fr; }
}
/* Simulator */
.simulator-box {
background: #f1f5f9;
border: 2px dashed #cbd5e1;
border-radius: 12px;
padding: 2.5rem;
text-align: center;
margin-top: 1.5rem;
}
.captcha-window {
background: white;
border: 1px solid #cfd8dc;
border-radius: 8px;
padding: 2rem;
display: inline-block;
box-shadow: 0 20px 25px -5px rgba(0, 0, 0, 0.1);
max-width: 450px;
width: 100%;
text-align: left;
}
.shortcut-key {
background: #f1f5f9;
border: 1px solid #cbd5e1;
border-radius: 4px;
padding: 0.2rem 0.5rem;
font-family: monospace;
font-weight: bold;
box-shadow: 0 2px 0 #cbd5e1;
}
.terminal-window {
background: #0f172a;
color: #38bdf8;
font-family: 'Courier New', Courier, monospace;
padding: 1.25rem;
border-radius: 8px;
margin-top: 1.5rem;
text-align: left;
display: none;
box-shadow: inset 0 2px 4px rgba(0,0,0,0.5);
}
/* Typen-Karten */
.type-card {
background: #f8fafc;
border: 1px solid var(--border-color);
border-radius: 8px;
padding: 1.25rem;
border-left: 4px solid var(--primary);
}
.comparison-card {
border: 2px solid #e2e8f0;
border-radius: 12px;
padding: 1.5rem;
}
.bad { border-color: var(--accent-danger); background: #fef2f2; }
.good { border-color: var(--accent-success); background: #f0fdf4; }
footer {
text-align: center;
padding: 3rem 1rem;
background: #1e293b;
color: #94a3b8;
margin-top: 4rem;
border-top: 1px solid #334155;
}
</style>
<header>
<div class="logo-area">Lobi GmbH • Security Lab</div>
<h1 id="txt-main-title">Aufklärungsprojekt: Fake Captcha Bedrohungen</h1>
<p id="txt-main-sub">Ein interaktiver Leitfaden zur Erkennung moderner Social-Engineering-Angriffe im Web.</p>
<div class="lang-selector">
<button onclick="changeLang('de')" class="active">Deutsch</button>
<button onclick="changeLang('en')">English</button>
<button onclick="changeLang('es')">Español</button>
</div>
</header>
<div class="container">
<div class="card">
<h2 id="txt-sec-types">Die verschiedenen Arten von Fake Captchas</h2>
<p id="txt-types-desc">Angreifer entwickeln ihre Methoden ständig weiter. Hier sind die drei am häufigsten vorkommenden Varianten, wie Schadcode über den Browser hinaus eingeschleust werden soll:</p>
<div class="grid-3">
<div class="type-card">
<h3 id="txt-t1-title">1. Der "Win + R" Trick</h3>
<p id="txt-t1-desc">Die Seite täuscht einen Fehler bei der Verifizierung vor und fordert den Nutzer auf, die System-Konsole zu öffnen, um dort einen bereitgestellten Text einzufügen. Häufig wird hierbei das Windows-Dienstprogramm <code>mshta.exe</code> missbraucht.</p>
</div>
<div class="type-card" style="border-left-color: #f59e0b;">
<h3 id="txt-t2-title">2. Der Powershell-Clipboard-Trick</h3>
<p id="txt-t2-desc">Hierbei kopiert das Skript im Hintergrund automatisch Befehle in die Zwischenablage, sobald der Nutzer irgendwo hinklickt. Danach wird behauptet, ein Update oder ein Zertifikat fehle, welches über das Terminal installiert werden muss.</p>
</div>
<div class="type-card" style="border-left-color: #ec4899;">
<h3 id="txt-t3-title">3. Der Tastatur-Bypass</h3>
<p id="txt-t3-desc">Einige Varianten verlangen das gleichzeitige Drücken von komplexen Kombinationen wie <span class="shortcut-key">Ctrl + Shift + I</span> gefolgt von Konsolenbefehlen, um Browsersicherheitsmechanismen (wie CORS oder CSP) gezielt zu umgehen.</p>
</div>
</div>
</div>
<div class="card">
<h2 id="txt-sec-sim">Interaktive Simulation (Absolut sicher)</h2>
<p id="txt-sim-desc">Erlebe die Dynamik eines solchen Angriffs gefahrlos in Echtzeit. Klicke auf den Button, um zu sehen, wie Fake-Systemeingaben provoziert werden:</p>
<div class="simulator-box">
<div class="captcha-window" id="c-window">
<p style="font-weight: bold; margin-top: 0;" id="txt-fake-prompt">Sicherheitsprüfung: Bitte bestätigen Sie, dass Sie kein Roboter sind.</p>
<p style="font-size: 0.9rem; color: #64748b;" id="txt-fake-sub">Klicken Sie auf den Button unten, um die Verifizierung abzuschließen.</p>
<button onclick="startSafeSimulation()" style="background: var(--primary); color: white; border: none; padding: 0.75rem 1.5rem; border-radius: 6px; font-weight: bold; cursor: pointer;" id="txt-fake-btn">Verifizieren</button>
</div>
<div id="sim-steps" style="display: none; margin-top: 2rem; text-align: left; background: white; padding: 1.5rem; border-radius: 8px; border-left: 4px solid var(--accent-danger);">
<p id="txt-step1">⚠️ <strong>Schritt 1:</strong> Die Seite generiert eine Fehlermeldung und verlangt das Drücken von <span class="shortcut-key">Win + R</span>.</p>
<p id="txt-step2">⚠️ <strong>Schritt 2:</strong> Es wird verlangt, den unbemerkt kopierten Text mittels <span class="shortcut-key">STRG + V</span> einzufügen.</p>
<p id="txt-step3" style="color: var(--accent-success); font-weight: bold; margin-bottom: 0;"></p>
</div>
<div class="terminal-window" id="sim-terminal">
C:\Windows\system32> <span id="terminal-text" style="color: white;"></span>
</div>
</div>
</div>
<div class="card">
<h2 id="txt-sec-comp">Analytischer Vergleich</h2>
<div class="grid-2">
<div class="comparison-card bad">
<h3 style="color: var(--accent-danger); margin-top: 0;" id="txt-comp-bad-title">Maliziöse Indikatoren (Gefälscht)</h3>
<ul id="txt-comp-bad-list" style="padding-left: 1.25rem;">
<li>Aufforderung zur Interaktion mit dem Betriebssystem.</li>
<li>Verwendung von Windows-Befehlsketten.</li>
<li>Automatisches Befüllen der Zwischenablage mit Skripten.</li>
</ul>
</div>
<div class="comparison-card good">
<h3 style="color: var(--accent-success); margin-top: 0;" id="txt-comp-good-title">Legitime Schutzsysteme (Echt)</h3>
<ul id="txt-comp-good-list" style="padding-left: 1.25rem;">
<li>Vollständige Kapselung innerhalb der Browser-Sandbox.</li>
<li>Verwendung von visuellen Rätseln oder kognitiver Analyse.</li>
<li>Keine Notwendigkeit für administrative Rechte.</li>
</ul>
</div>
</div>
</div>
</div>
<footer>
<p>© 2026 Lobi GmbH - Offizielles Informationsportal für Cybersicherheit</p>
<p style="font-size: 0.85rem; color: #64748b;">Dieses Portal dient ausschließlich Aufklärungs- und Schulungszwecken.</p>
</footer>
<script>
const dict = {
de: {
title: "Aufklärungsprojekt: Fake Captcha Bedrohungen",
sub: "Ein interaktiver Leitfaden zur Erkennung moderner Social-Engineering-Angriffe im Web.",
secTypes: "Die verschiedenen Arten von Fake Captchas",
typesDesc: "Angreifer entwickeln ihre Methoden ständig weiter. Hier sind die drei am häufigsten vorkommenden Varianten, wie Schadcode über den Browser hinaus eingeschleust werden soll:",
t1Title: "1. Der \"Win + R\" Trick",
t1Desc: "Die Seite täuscht einen Fehler bei der Verifizierung vor und fordert den Nutzer auf, die System-Konsole zu öffnen, um dort einen bereitgestellten Text einzufügen. Häufig wird hierbei das Windows-Dienstprogramm <code>mshta.exe</code> missbraucht.",
t2Title: "2. Der Powershell-Clipboard-Trick",
t2Desc: "Hierbei kopiert das Skript im Hintergrund automatisch Befehle in die Zwischenablage, sobald der Nutzer irgendwo hinklickt. Danach wird behauptet, ein Update oder ein Zertifikat fehle, welches über das Terminal installiert werden muss.",
t3Title: "3. Der Tastatur-Bypass",
t3Desc: "Einige Varianten verlangen das gleichzeitige Drücken von komplexen Kombinationen wie <span class='shortcut-key'>Ctrl + Shift + I</span> gefolgt von Konsolenbefehlen, um Browsersicherheitsmechanismen (wie CORS oder CSP) gezielt zu umgehen.",
secSim: "Interaktive Simulation (Absolut sicher)",
simDesc: "Erlebe die Dynamik eines solchen Angriffs gefahrlos in Echtzeit. Klicke auf den Button, um zu sehen, wie Fake-Systemeingaben provoziert werden:",
fakePrompt: "Sicherheitsprüfung: Bitte bestätigen Sie, dass Sie kein Roboter sind.",
fakeSub: "Klicken Sie auf den Button unten, um die Verifizierung abzuschließen.",
fakeBtn: "Verifizieren",
step1: "⚠️ <strong>Schritt 1:</strong> Die Seite generiert eine Fehlermeldung und verlangt das Drücken von <span class='shortcut-key'>Win + R</span>.",
step2: "⚠️ <strong>Schritt 2:</strong> Es wird verlangt, den unbemerkt kopierten Text mittels <span class='shortcut-key'>STRG + V</span> einzufügen.",
step3: "🛡️ <strong>Ergebnis des Tests:</strong> Wir haben einen sicheren Demotext übergeben! Im Ernstfall würde hier Schadcode ausgeführt werden. Geben Sie niemals fremde Befehle in Ihr System ein.",
secComp: "Analytischer Vergleich",
compBadTitle: "Maliziöse Indikatoren (Gefälscht)",
compGoodTitle: "Legitime Schutzsysteme (Echt)",
compBadList: "<li>Aufforderung zur Interaktion mit dem Betriebssystem.</li><li>Verwendung von Windows-Befehlsketten (mshta, powershell, cmd).</li><li>Erzwungene Nutzung der Zwischenablage ohne Einwilligung.</li>",
compGoodList: "<li>Vollständige Kapselung innerhalb der Browser-Sandbox (Cloudflare, Google reCAPTCHA).</li><li>Verwendung von visuellen Rätseln oder kognitiver Verhaltensanalyse.</li><li>Keinerlei Interaktion mit lokalen Systemdateien oder Terminal-Fenstern.</li>"
},
en: {
title: "Educational Project: Fake Captcha Threats",
sub: "An interactive guide for detecting modern social engineering attacks on the web.",
secTypes: "Different Types of Fake Captchas",
typesDesc: "Attackers constantly evolve their methods. Here are the three most common variants used to inject malicious code outside the browser ecosystem:",
t1Title: "1. The \"Win + R\" Trick",
t1Desc: "The website fakes a verification error and instructs the user to open the system run-dialogue and paste a provided command. This frequently abuses native Windows utilities like <code>mshta.exe</code>.",
t2Title: "2. The Powershell Clipboard Hack",
t2Desc: "In this scenario, background scripts automatically inject commands into your clipboard upon interaction. The page then claims a critical security certificate or update is missing and requires installation via the terminal.",
t3Title: "3. The Keyboard Bypass",
t3Desc: "Certain variations prompt users to press complex hotkeys like <span class='shortcut-key'>Ctrl + Shift + I</span> to open developer consoles, enticing them to manually bypass browser security models (such as CORS or CSP).",
secSim: "Interactive Simulation (Completely Safe)",
simDesc: "Experience the mechanics of this attack vector safely in real-time. Click the verification button to see how systemic compromises are provoked:",
fakePrompt: "Security Check: Please verify that you are not a robot.",
fakeSub: "Click the button below to complete the verification process.",
fakeBtn: "Verify",
step1: "⚠️ <strong>Step 1:</strong> The page throws an artificial error and requests you to press <span class='shortcut-key'>Win + R</span>.",
step2: "⚠️ <strong>Step 2:</strong> It commands you to execute the silently copied text via <span class='shortcut-key'>CTRL + V</span>.",
step3: "🛡️ <strong>Simulation Result:</strong> A safe educational string was copied instead. Real-world attacks would execute script payloads here. Never paste unverified code into your operating system.",
secComp: "Analytical Comparison",
compBadTitle: "Malicious Indicators (Fake)",
compGoodTitle: "Legitimate Defenses (Real)",
compBadList: "<li>Requires manual interaction with the local operating system.</li><li>Utilizes system-level command lines (mshta, powershell, cmd).</li><li>Forced clipboard hijacking without user consent.</li>",
compGoodList: "<li>Operates entirely sandbox-contained inside the browser window (Cloudflare, Google reCAPTCHA).</li><li>Relies on visual puzzles or cognitive behavior monitoring.</li><li>Zero interaction required with system terminals or binaries.</li>"
},
es: {
title: "Proyecto Educativo: Amenazas de Captchas Falsos",
sub: "Una guía interactiva para detectar ataques modernos de ingeniería social en la web.",
secTypes: "Diferentes Tipos de Captchas Falsos",
typesDesc: "Los atacantes evolucionan constantemente. Estas son las tres variantes más comunes utilizadas para inyectar código malicioso fuera del ecosistema del navegador:",
t1Title: "1. El truco \"Win + R\"",
t1Desc: "El sitio web simula un error de verificación e instruye al usuario a abrir el diálogo de ejecución del sistema y pegar un comando proporcionado. Esto abusa frecuentemente de utilidades nativas de Windows como <code>mshta.exe</code>.",
t2Title: "2. El Hack de Portapapeles con Powershell",
t2Desc: "En este escenario, los scripts en segundo plano inyectan automáticamente comandos en tu portapapeles. La página afirma que falta una actualización crítica o un certificado de seguridad y requiere su instalación a través de la terminal.",
t3Title: "3. El Bypass del Teclado",
t3Desc: "Ciertas variaciones solicitan a los usuarios presionar combinaciones complejas como <span class='shortcut-key'>Ctrl + Shift + I</span> para abrir las consolas de desarrollador, incitándolos a eludir manualmente los modelos de seguridad del navegador (como CORS o CSP).",
secSim: "Simulación Interactiva (Completamente Segura)",
simDesc: "Experimenta la mecánica de este vector de ataque de forma segura en tiempo real. Haz clic en el botón de verificación para ver cómo se provocan los compromisos del sistema:",
fakePrompt: "Control de Seguridad: Por favor, verifique que no es un robot.",
fakeSub: "Haga clic en el botón de abajo para completar el proceso de verificación.",
fakeBtn: "Verificar",
step1: "⚠️ <strong>Paso 1:</strong> La página genera un error artificial y solicita presionar <span class='shortcut-key'>Win + R</span>.",
step2: "⚠️ <strong>Paso 2:</strong> Te ordena ejecutar el texto copiado silenciosamente mediante <span class='shortcut-key'>CTRL + V</span>.",
step3: "🛡️ <strong>Resultado de la simulación:</strong> ¡Se copió una cadena educativa segura! Los ataques reales ejecutarían cargas de scripts aquí. Nunca pegues código no verificado en tu sistema operativo.",
secComp: "Comparación Analítica",
compBadTitle: "Indicadores Maliciosos (Falso)",
compGoodTitle: "Defensas Legítimas (Real)",
compBadList: "<li>Requiere interacción manual con el sistema operativo local.</li><li>Utiliza líneas de comando a nivel de sistema (mshta, powershell, cmd).</li><li>Secuestro forzado del portapapeles sin el consentimiento del usuario.</li>",
compGoodList: "<li>Opera completamente dentro del entorno seguro del navegador (Cloudflare, Google reCAPTCHA).</li><li>Se basa en acertijos visuales o monitoreo del comportamiento cognitivo.</li><li>Cero interacción requerida con terminales o binarios del sistema.</li>"
}
};
function changeLang(lang) {
document.querySelectorAll('.lang-selector button').forEach(b => b.classList.remove('active'));
event.target.classList.add('active');
document.getElementById('txt-main-title').innerText = dict[lang].title;
document.getElementById('txt-main-sub').innerText = dict[lang].sub;
document.getElementById('txt-sec-types').innerText = dict[lang].secTypes;
document.getElementById('txt-types-desc').innerText = dict[lang].typesDesc;
document.getElementById('txt-t1-title').innerText = dict[lang].t1Title;
document.getElementById('txt-t1-desc').innerHTML = dict[lang].t1Desc;
document.getElementById('txt-t2-title').innerText = dict[lang].t2Title;
document.getElementById('txt-t2-desc').innerHTML = dict[lang].t2Desc;
document.getElementById('txt-t3-title').innerText = dict[lang].t3Title;
document.getElementById('txt-t3-desc').innerHTML = dict[lang].t3Desc;
document.getElementById('txt-sec-sim').innerText = dict[lang].secSim;
document.getElementById('txt-sim-desc').innerText = dict[lang].simDesc;
document.getElementById('txt-fake-prompt').innerText = dict[lang].fakePrompt;
document.getElementById('txt-fake-sub').innerText = dict[lang].fakeSub;
document.getElementById('txt-fake-btn').innerText = dict[lang].fakeBtn;
document.getElementById('txt-step1').innerHTML = dict[lang].step1;
document.getElementById('txt-step2').innerHTML = dict[lang].step2;
if(document.getElementById('txt-step3').innerText !== "") {
document.getElementById('txt-step3').innerHTML = dict[lang].step3;
}
document.getElementById('txt-sec-comp').innerText = dict[lang].secComp;
document.getElementById('txt-comp-bad-title').innerText = dict[lang].compBadTitle;
document.getElementById('txt-comp-good-title').innerText = dict[lang].compGoodTitle;
document.getElementById('txt-comp-bad-list').innerHTML = dict[lang].compBadList;
document.getElementById('txt-comp-good-list').innerHTML = dict[lang].compGoodList;
}
function startSafeSimulation() {
const activeLang = document.querySelector('.lang-selector button.active').innerText.toLowerCase() === 'deutsch' ? 'de' : (document.querySelector('.lang-selector button.active').innerText.toLowerCase() === 'english' ? 'en' : 'es');
// Ein absolut sicheres Payload-Beispiel, das nur Text ausgibt
const educationalText = "cmd.exe /c echo SCHUTZ AKTIV: Ausführen fremder Befehle blockiert! Präsentiert von Lobi GmbH.";
navigator.clipboard.writeText(educationalText).then(() => {
document.getElementById('sim-steps').style.display = 'block';
document.getElementById('txt-step3').innerHTML = dict[activeLang].step3;
document.getElementById('sim-terminal').style.display = 'block';
document.getElementById('terminal-text').innerText = educationalText;
}).catch(() => {
alert("Clipboard access blocked by browser settings - this is a good security feature!");
});
}
</script>