Faqet e rreme të Cloudflare ClickFix shpërndajnë Psychedelic Stealer
Një fushatë malware ClickFix po përdor faqe interneti të komprometuara të bizneseve ukrainase për të shfaqur faqe të rreme verifikimi të Cloudflare që mashtrojnë vizitorët të ekzekutojnë një komandë që instalon një vjedhës informacioni të padokumentuar më parë të quajtur Psychedelic, raporton Arctic Wolf Labs.
Kur një vizitor ndërvepron me karremin, faqja kopjon një komandë Windows Installer në clipboard dhe udhëzon vizitorin ta ngjisë atë në dialogun Windows Run, sipas raportit teknik të Arctic Wolf. Zinxhiri ClickFix përdor një komandë msiexec.exe për të marrë një instalues Windows MSI që shpërndan vjedhësin. Psychedelic është projektuar për të mbledhur fjalëkalime shfletuesi, tokena llogarie dhe të dhëna të portofolit të kriptovalutave, për të vendosur këmbëngulje përmes detyrave të planifikuara dhe për të kontaktuar një server komandimi dhe kontrolli (C2) për detyra shtesë.
Faqet e komprometuara përfshijnë një klinikë për trajtim flokësh, një prodhues modelesh në shkallë, një librashitës dhe botues specialist, një objekt psikologjik, një shitës mjetesh dhe një shitës automobilistik. Çdo faqe e prekur përmban një element iframe të injektuar që ekzekuton JavaScript të kontrolluar nga sulmuesi nga fsputnik[.]com/tds/tracker[.]js. Komanda ClickFix merr një instalues MSI të quajtur elita.msi që strehohet në uasputnik[.]com, një domen i regjistruar më 9 shtator 2026. Ngarkesa të tjera MSI të identifikuara në fushatë janë miks.msi, astra.msi, harbor.msi, neon.msi, sova.msi dhe vyse.msi.
Faqja e rreme imiton një ekran verifikimi të Cloudflare dhe paraqet udhëzime në gjuhën ukrainase. Arctic Wolf thotë se operacioni i clipboard ndodh përpara se faqja të shfaqë udhëzimet e Windows Run. Pas një rrotulluesi tre sekondash, faqja paraqet një dialog udhëzimi dhe mban butonin Done të çaktivizuar për rreth 35 sekonda shtesë. Kjo vonesë kontrollon përparimin përmes ndërfaqes së karremit, por nuk verifikon nëse vizitori hapi Windows Run, ngjiti komandën ose instaloi ngarkesën.
Instaluesi MSI merr ngarkesën e fazës tjetër, psychedeliclove.exe, nga URL-ja 107.175.82[.]242:9000. Ky ekzekutues 64-bit i Windows është Psychedelic Stealer. Ai mbledh kredencialet nga shfletuesit e bazuar në Chromium duke përfshirë Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi dhe Yandex, dhe i eksfiltraton ato përmes pikës fundore /api/v1/ext/passwords. Ai gjithashtu mbledh tokena llogarie të lidhura me shfletuesin përmes /api/v1/ext/tokens, skanon për shtesa të njohura të shfletuesit për portofol kriptovalutash si MetaMask, Trust Wallet, OKX Wallet dhe SafePal, si dhe aplikacione desktop duke përfshirë Exodus, Atomic Wallet, Electrum, Bitcoin Core dhe Litecoin Core, dhe i dërgon këto të dhëna përmes /api/v1/ext/wallets. Malware-i kap informacion të gjerë të hostit dhe e eksfiltraton përmes /api/v1/checkin. Ai gjithashtu mund të përfundojë procese të zgjedhura të shfletuesit, të nxjerrë një arkivë të integruar shtesash në profilet e shfletuesit dhe të vendosë një urë native-messaging. Arctic Wolf vëren se këto komponentë e zgjerojnë operacionin përtej mbledhjes së të dhënave një herë, dhe një rutinë e përsëritur në sfond rishikon operacionet e lidhura me shtesat përpara se të pyesë serverin C2 për detyra.
Psychedelic Stealer mund të marrë detyra të mëtejshme duke përdorur pikën fundore /api/v1/agent/tasks?hwid=%s, ku hwid është një identifikues unik i viktimës. Ai mund të ekzekutojë ngarkesa EXE, COM, BAT, CMD, MSI dhe PowerShell, duke i dhënë operatorit një mënyrë për të futur malware shtesë.
Arctic Wolf identifikoi një panel të ekspozuar të menaxhimit të karremit të lidhur me fushatën e quajtur РУБЛЁВКА TDS (Rublevka TDS) në domenin uasputnik[.]com. Ky panel është i dallueshëm nga C2 i implantit në 193.178.159[.]128:8080. Paneli përdoret për të konfiguruar komandat e karremit në web dhe regjistron ndërveprimet. Paneli i tij i kontrollit pyesë regjistrimet e vizitorëve çdo dy sekonda, duke ofruar dukshmëri pothuajse në kohë reale të përparimit përmes ndërfaqes së karremit, jo ekzekutimit në pikën fundore. Në kohën e analizës, paneli regjistroi 557 shikime, 426 klikime dhe 79 ngjarje të plota në 32 vende. Ukraina përbënte 446 shikime, 351 klikime dhe 71 ngjarje të plota. Vendet e tjera të synuara përfshinin SHBA-në, Poloninë, Gjermaninë, Kanadanë dhe Holandën. Arctic Wolf thotë se markimi në gjuhën ruse dhe artefaktet e zbatimit sugjerojnë operatorë të mundshëm rusë, dhe përqendrimi i shikimeve të regjistruara në Ukrainë, së bashku me udhëzimet në gjuhën ukrainase dhe faqet e prekura të bizneseve ukrainase, mbështesin një vlerësim se fushata u përqendrua shumë te përdoruesit ukrainas.
Në një dërgim tjetër ClickFix, Blackpoint Cyber raportoi dy komponentë malware .NET të padokumentuar të quajtur RemotePanel dhe BoundSiphon të dorëzuar së bashku. RemotePanel është një platformë e vazhdueshme e aksesit në distancë që vendos këmbëngulje duke u maskuar si shërbimi Windows Time. Ai u jep operatorëve kontroll të gjerë mbi sistemet e infektuara, duke përfshirë PowerShell, menaxhimin e skedarëve dhe proceseve, aksesin në ekran, modular hidden virtual network computing (HVNC) dhe menaxhimin e flotës. BoundSiphon është një vjedhës kredencialesh dhe kriptovalutash .NET që synon si shfletuesit Chromium ashtu edhe Firefox. Ai funksionon kryesisht nga memoria dhe synon kredencialet dhe sesionet e shfletuesit, portofolet e kriptovalutave, të dhënat e menaxherit të fjalëkalimeve dhe dokumente të zgjedhura, duke përfshirë sekretet e mbrojtura nga Chromium App-Bound Encryption.
RemotePanel përdor një kontratë BNB Smart Chain për të zgjidhur serverin e tij C2, duke i lejuar aktorët e kërcënimit të rrotullojnë infrastrukturën pa rindërtuar ose rivendosur malware-in në hostet e infektuara. BoundSiphon vlerësohet të ndajë mbivendosje me një vjedhës që u shpërnda përmes pesë paketave malicioze NuGet në maj 2026. Sekuenca e sulmit fillon me një komandë ClickFix që përdor PowerShell për të nisur një zinxhir shumë-fazor. Një komponent i ndërmjetëm abuzon objektin COM CMSTPLUA për të anashkaluar User Account Control dhe për të fituar privilegje administrative të ngritura pa e nxitur përdoruesin, pastaj ekzekuton një proces të fshehur PowerShell me privilegje. Ky proces konfiguron përjashtime të gjera të Microsoft Defender dhe merr dhe ekzekuton dy ngarkesa shtesë: RemotePanel i shkruar në disk dhe i instaluar si shërbim, dhe BoundSiphon i ngarkuar direkt në memorie përmes PowerShell. Fushata nuk është atribuar një aktori ose grupi të njohur kërcënimi, megjithëse Blackpoint thotë se artefaktet e rikuperuara sugjerojnë një mjedis të mundshëm zhvillimi në gjuhën ruse, duke përfshirë kontrolle të kodit burimor për të shmangur ekzekutimin në sisteme me një plan urbanistik tastiere rus.
Për pronarët e faqeve të internetit, fushata është një kujtesë se një faqe legjitime biznesi mund të kthehet në heshtje në një faqe shpërndarjeje malware përmes skripteve të injektuara. Ekspozimi i reduktuar vjen nga mbajtja e faqes dhe të gjitha shtesave të saj të përditësuara, heqja e komponentëve të papërdorur dhe përdorimi i një ofruesi hostimi që menaxhon sigurinë. AEU Hosting ofron hostim të menaxhuar WordPress të ndërtuar për të qenë i siguruar nga fillimi në fund, i cili mund të zvogëlojë mundësinë që një faqe të kthehet në një faqe sulmi si faqet e bizneseve ukrainase të përshkruara këtu.