Хакери атакують українські сайти для поширення шкідливого ПЗ Psychedelic

Автор ·

Злочинці активізували кампанію з використанням соціальної інженерії ClickFix, націлену на легітимні українські вебресурси. Основна мета — змусити користувачів виконати шкідливу команду та інфікувати пристрої шпигунським програмним забезпеченням Psychedelic Stealer, яке викрадає паролі та дані криптогаманців.

Схема ClickFix та ураження сайтів

Зловмисники вбудовують шкідливий iframe-скрипт (fsputnik[.]com/tds/tracker[.]js) у код зламаних сайтів. Серед жертв — клініки, виробники моделей, видавництва, психологічні центри та магазини інструментів. Під час відвідування скомпрометованого ресурсу користувач бачить підроблену сторінку перевірки Cloudflare з інструкціями українською.

  • Сайт автоматично копіює шкідливу команду у буфер обміну.
  • Відображається анімація завантаження, після якої користувачеві пропонується вставити команду та натиснути Enter.
  • Команда завантажує MSI-інсталятор з домену uasputnik[.]com.

Аналіз Psychedelic Stealer

MSI-пакет запускає виконуваний файл psychedeliclove.exe, який викрадає дані з популярних браузерів та криптогаманців.

  • Викрадає збережені паролі з Chromium-браузерів.
  • Сканує систему на наявність криптогаманців.
  • Модифікує профілі браузерів, щоб підтримувати зв'язок із шкідником.
  • Отримує нові команди через C2-сервер.

Дані панелі управління

Фахівці Arctic Wolf виявили панель управління на uasputnik[.]com, з 557 переглядів понад 80% — з України. Інтерфейс має російськомовне брендування, що вказує на ймовірне російське походження угруповання.

Альтернативні загрози

Дослідники Blackpoint Cyber виявили іншу атаку з використанням ClickFix, яка встановлює два нові модулі на базі .NET:

  • RemotePanel: троян, що маскується під системну службу Windows Time, надає хакерам повний контроль над ПК.
  • BoundSiphon: модуль для викрадення сесій та паролів, що обходить захист App-Bound Encryption у сучасних версіях Chromium.

Ці модулі використовують обхід UAC і перевіряють розкладку клавіатури, зупиняючись, якщо в системі присутня російська мова.

Джерело: dev.ua (https://dev.ua/news/khakery-zlamuiut-ukrainski-saity-1790327470)