Серед зламаних ресурсів — сайти клініки, видавництва, магазину інструментів, продавця автотоварів та інших українських компаній і організацій.
На зламаних сторінках користувачам показують підроблену перевірку Cloudflare українською мовою. Їх просять виконати команду у Windows, яка автоматично копіюється в буфер обміну.
Після запуску команди на комп’ютер завантажується Psychedelic Stealer.
Що краде Psychedelic Stealer
Psychedelic Stealer викрадає паролі та дані облікових записів із популярних браузерів, зокрема Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi та Yandex.
Також шкідливе ПЗ шукає дані криптовалютних гаманців. Серед них — MetaMask, Trust Wallet, OKX Wallet і SafePal, а також десктопні програми Exodus, Atomic Wallet, Electrum, Bitcoin Core та Litecoin Core.
Крім того, Psychedelic Stealer збирає інформацію про заражений комп’ютер і може виконувати додаткові команди, зокрема запускати інше шкідливе програмне забезпечення.
За даними Arctic Wolf, панель керування, пов’язана з кампанією, на момент аналізу містила 557 переглядів, 426 переходів і 79 завершених взаємодій у 32 країнах. На Україну припадали 446 переглядів, 351 перехід і 71 завершена взаємодія.
Дослідники вважають, що кампанія значною мірою орієнтована на українських користувачів. На це, за їхньою оцінкою, вказують українська мова інструкцій, зламані українські сайти та значна кількість взаємодій з України. Водночас Arctic Wolf не встановила, яке саме хакерське угруповання стоїть за атакою.
Читайте також: Північнокорейські хакери викрали дані 7000 криптогаманців та вкрали $10,8 млн
Через ClickFix поширюють й інше шкідливе ПЗ
Окремо Blackpoint Cyber повідомила про два нові .NET-компоненти, які також поширюються через ClickFix. Це RemotePanel — інструмент для віддаленого доступу до заражених систем, і BoundSiphon — викрадач даних.
RemotePanel дає зловмисникам змогу керувати зараженим комп’ютером, працювати з файлами та процесами, використовувати PowerShell і отримувати доступ до екрана.
BoundSiphon призначений для викрадення облікових даних, браузерних сесій, даних криптовалютних гаманців, менеджерів паролів та окремих документів.
Blackpoint Cyber також не пов’язала цю кампанію з конкретним відомим хакерським угрупованням. Водночас дослідники виявили ознаки можливого російськомовного середовища розробки. Зокрема, шкідливий код перевіряє розкладку клавіатури й не запускається на системах із російською.
Як ми повідомляли, Tether запускає некастодіальний криптогаманець