Psychedelic-Stealer

CERT-UA พบเว็บไซต์กว่า 100 แห่งถูกฝังจาวาสคริปต์แสดงหน้ายืนยัน Cloudflare ปลอม หลอกให้รันคำสั่งติดตั้ง MSI ที่ปล่อย LunexStealer หรือ Psychedelic Stealer กิจกรรมนี้ถูกโยงกับกลุ่ม UAC-0277 สคริปต์ดึงโดเมนและโหมดทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ตัวติดตั้งมี 3 แบบ รวมถึงแบบใช้ไดรเวอร์ AMD ที่มีช่องโหว่ปิดตาซอฟต์แวร์ความปลอดภัย มัลแวร์ยังฝังส่วนขยาย LUNARAXE ที่ขโมยคุกกี้ ลอก CSP และให้ผู้โจมตีคุมเบราว์เซอร์ได้

บริษัท Ontinue เผยว่าอินโฟสตีลเลอร์ Psychedelic ที่แพร่ผ่านกล ClickFix เป็นส่วนหนึ่งของแพลตฟอร์มมัลแวร์ให้เช่า (MaaS) ชื่อ Lunex ห่วงโซ่โจมตี 4 ขั้นเริ่มจาก CAPTCHA ปลอมสู่การวาง C2 agent เต็มรูปแบบ จุดเด่นคือใช้ BYOVD ผ่านไดรเวอร์ AMD Radeon ที่มีช่องโหว่ CVE-2023-20598 เพื่อยกสิทธิ์และปิดตาเครื่องมือความปลอดภัยโดยไม่ปิดโปรเซส มัลแวร์ดูดรหัสผ่านจากเบราว์เซอร์ 7 ตัวและกระเป๋าคริปโต พร้อมตั้ง Native Messaging Host เข้าถึงไฟล์ระบบ ปัจจุบันพบแผงควบคุม 28 จุดใน 13 ประเทศ

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายเจาะเว็บธุรกิจยูเครนของแท้ แล้ว inject หน้ายืนยันตัวตน Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งใน Windows Run กล ClickFix ใช้ msiexec.exe ดึงตัวติดตั้ง MSI มาปล่อยอินโฟสตีลเลอร์ตัวใหม่ชื่อ Psychedelic ที่ดูดรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าคริปโต แผงควบคุมชื่อ Rublevka TDS บันทึกยอดคลิกจาก 32 ประเทศโดยเน้นยูเครนเป็นหลัก คาดว่าเป็นฝีมือผู้ปฏิบัติการที่พูดภาษารัสเซีย