Злочинці розгорнули масштабну кампанію з використанням соціальної інженерії ClickFix, атакуючи легітимні вебресурси українських підприємств та організацій. Головна мета атаки — змусити користувачів власноруч виконати шкідливу команду та заразити пристрої новим шпигунським ПЗ Psychedelic Stealer, призначеним для викрадення паролів і криптогаманців.
Злочинці розгорнули масштабну кампанію з використанням соціальної інженерії ClickFix, атакуючи легітимні вебресурси українських підприємств та організацій. Головна мета атаки — змусити користувачів власноруч виконати шкідливу команду та заразити пристрої новим шпигунським ПЗ Psychedelic Stealer, призначеним для викрадення паролів і криптогаманців.
Злочинці впроваджують шкідливий iframe-скрипт (fsputnik[.]com/tds/tracker[.]js) у код зламаних сайтів. Серед жертв злому виявлено різнопрофільні українські ресурси: клініку лікування волосся, виробника масштабних моделей, спеціалізоване видавництво, психологічний центр, а також магазини інструментів та автотоварів, повідомляє The Hacker News.
Під час відвідування скомпрометованого сайту користувачу відображається підроблена сторінка перевірки Cloudflare з інструкціями українською мовою.
MSI-пакет завантажує та запускає основний 64-бітний виконуваний файл psychedeliclove.exe. Дослідники з Arctic Wolf Labs з’ясували, що Psychedelic Stealer володіє широким спектром шпигунських можливостей.
Збір облікових даних: викрадає збережені паролі та авторизаційні токени з усіх популярних Chromium-браузерів (Chrome, Edge, Brave, Opera, Vivaldi, Yandex) і відправляє їх на C2-сервер.
Полювання на криптогаманці: сканує систему на наявність браузерних розширень (MetaMask, Trust Wallet, OKX, SafePal) та десктопних застосунків (Exodus, Atomic Wallet, Electrum, Bitcoin Core, Litecoin Core).
Модифікація профілів браузера: закриває процеси браузерів, розпаковує власні шкідливі розширення в профілі користувачів та налаштовує Native Messaging для постійного фонового зв’язку між браузером та шкідником.
Виконання додаткових команд: запитує нові завдання через C2-сервер за унікальним HWID жертви, що дозволяє операторам віддалено запускати будь-які EXE, BAT, CMD чи PowerShell файли.
Фахівці Arctic Wolf виявили відкриту панель керування трафіком на домені uasputnik[.]com. З 557 зафіксованих переглядів та 426 кліків понад 80% припадає саме на користувачів з України (446 переглядів та 351 клік). Інтерфейс панелі та технічні артефакти мають російськомовне брендування, що вказує на ймовірне російське походження угруповання.
Паралельно дослідники компанії Blackpoint Cyber зафіксували іншу гілку атак із використанням механіки ClickFix, яка встановлює в систему одразу два нові модулі на базі .NET:
RemotePanel: троян віддаленого доступу (RAT), який маскується під системну службу Windows Time. Він дає хакерам повний контроль над ПК: віддалений доступ до робочого столу (hVNC), виконання PowerShell-скриптів, управління файлами та процесами. Для пошуку C2-сервера інструмент використовує смарт-контракт у мережі BNB Smart Chain, що дозволяє змінювати IP-адреси без перезбирання самого вірусу.
BoundSiphon: модуль для викрадення сесій, паролів та документів, що завантажується безпосередньо в оперативну пам’ять. Він здатен обходити захист App-Bound Encryption у сучасних версіях Chromium.
Для підвищення привілеїв ця зв’язка використовує обхід UAC через COM-об'єкт CMSTPLUA, після чого додає весь диск до винятків захисника Microsoft Defender. В коді RemotePanel та BoundSiphon виявлено перевірки раскладки клавіатури — шкідники припиняють роботу, якщо в системі присутня російська мова.
