► Читайте телеграмм-канал «Минфина»: главные финансовые новости
Среди сломанных ресурсов — сайты клиники, издательства, магазина инструментов, продавца автотоваров и других украинских компаний и организаций.
На сломанных страницах пользователям показывают поддельную проверку Cloudflare на украинском языке. Их просят выполнить команду Windows, которая автоматически копируется в буфер обмена.
После запуска команды на компьютер загружается Psychedelic Stealer.
Что крадет Psychedelic Stealer
Psychedelic Stealer похищает пароли и данные аккаунтов из популярных браузеров, включая Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi и Yandex.
Также вредоносное ПО ищет данные криптовалютных кошельков. Среди них — MetaMask, Trust Wallet, OKX Wallet и SafePal, а также десктопные программы Exodus, Atomic Wallet, Electrum, Bitcoin Core и Litecoin Core.
Кроме того, Psychedelic Stealer собирает информацию о зараженном компьютере и может выполнять дополнительные команды, в том числе запускать другое вредоносное программное обеспечение.
По данным Arctic Wolf, панель управления, связанная с кампанией, на момент анализа содержала 557 просмотров, 426 переходов и 79 завершенных взаимодействий в 32 странах. На Украину приходилось 446 просмотров, 351 переход и 71 завершено взаимодействие.
Исследователи полагают, что кампания в значительной степени ориентирована на украинских пользователей. На это, по их оценке, указывают украинский язык инструкций, сломанные украинские сайты и значительное количество взаимодействий с Украиной. В то же время Arctic Wolf не установила, какая именно хакерская группировка стоит за атакой.
Читайте также: Северокорейские хакеры похитили данные 7000 криптогаманцев и украли $10,8 млн
Через ClickFix распространяют и другое вредоносное ПО.
Отдельно Blackpoint Cyber сообщила о двух новых .NET-компонентах, которые также распространяются через ClickFix. Это RemotePanel — инструмент для удаленного доступа к зараженным системам, и BoundSiphon — угонщик данных.
RemotePanel позволяет злоумышленникам управлять зараженным компьютером, работать с файлами и процессами, использовать PowerShell и получать доступ к экрану.
BoundSiphon предназначен для угона учетных данных, браузерных сессий, данных криптовалютных кошельков, менеджеров паролей и отдельных документов.
Blackpoint Cyber также не связала эту кампанию с конкретной известной хакерской группировкой. В то же время исследователи выявили признаки возможной русскоязычной среды разработки. В частности, вредоносный код проверяет раскладку клавиатуры и не запускается на системах с русским.
Как мы сообщали, Tether запускает некастодиальный криптогаманец