Хакеры взламывают украинские сайты: новый вирус ворует пароли и данные криптокошельков

► Читайте телеграмм-канал «Минфина»: главные финансовые новости

Среди сломанных ресурсов — сайты клиники, издательства, магазина инструментов, продавца автотоваров и других украинских компаний и организаций.

На сломанных страницах пользователям показывают поддельную проверку Cloudflare на украинском языке. Их просят выполнить команду Windows, которая автоматически копируется в буфер обмена.

После запуска команды на компьютер загружается Psychedelic Stealer.

Что крадет Psychedelic Stealer

Psychedelic Stealer похищает пароли и данные аккаунтов из популярных браузеров, включая Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi и Yandex.

Также вредоносное ПО ищет данные криптовалютных кошельков. Среди них — MetaMask, Trust Wallet, OKX Wallet и SafePal, а также десктопные программы Exodus, Atomic Wallet, Electrum, Bitcoin Core и Litecoin Core.

Кроме того, Psychedelic Stealer собирает информацию о зараженном компьютере и может выполнять дополнительные команды, в том числе запускать другое вредоносное программное обеспечение.

По данным Arctic Wolf, панель управления, связанная с кампанией, на момент анализа содержала 557 просмотров, 426 переходов и 79 завершенных взаимодействий в 32 странах. На Украину приходилось 446 просмотров, 351 переход и 71 завершено взаимодействие.

Исследователи полагают, что кампания в значительной степени ориентирована на украинских пользователей. На это, по их оценке, указывают украинский язык инструкций, сломанные украинские сайты и значительное количество взаимодействий с Украиной. В то же время Arctic Wolf не установила, какая именно хакерская группировка стоит за атакой.

Читайте также: Северокорейские хакеры похитили данные 7000 криптогаманцев и украли $10,8 млн

Через ClickFix распространяют и другое вредоносное ПО.

Отдельно Blackpoint Cyber сообщила о двух новых .NET-компонентах, которые также распространяются через ClickFix. Это RemotePanel — инструмент для удаленного доступа к зараженным системам, и BoundSiphon — угонщик данных.

RemotePanel позволяет злоумышленникам управлять зараженным компьютером, работать с файлами и процессами, использовать PowerShell и получать доступ к экрану.

BoundSiphon предназначен для угона учетных данных, браузерных сессий, данных криптовалютных кошельков, менеджеров паролей и отдельных документов.

Blackpoint Cyber также не связала эту кампанию с конкретной известной хакерской группировкой. В то же время исследователи выявили признаки возможной русскоязычной среды разработки. В частности, вредоносный код проверяет раскладку клавиатуры и не запускается на системах с русским.

Как мы сообщали, Tether запускает некастодиальный криптогаманец

Автор:

редактор новостей Ярослав Дмитренко

Пишет на темы: Экономика, финансы, криптовалюты, технологии, инвестиции