Lunex Stealer Abuses AMD Driver to Disable Security Monitoring and Steal Browser Credentials
The Hacker News · 26 sept, 20:22
Qué hacer: Aplica el parche o actualización disponible para el driver PDFWKRNL.sys de AMD Radeon Software y considera bloquear variantes vulnerables mediante la lista de bloqueo de drivers vulnerables de Microsoft.
Lunex es una plataforma malware-as-a-service que distribuye Psychedelic Stealer, un infostealer dirigido a hablantes de ucraniano a través de sitios comprometidos con verificaciones ClickFix falsas. La cadena de ataque de cuatro etapas utiliza técnicas BYOVD (bring your own vulnerable driver) para explotar CVE-2023-20598, un driver vulnerable de AMD Radeon Software (PDFWKRNL.sys), y desactiva las herramientas de seguridad antes de extraer credenciales de navegadores, carteras de criptomonedas y establece acceso remoto persistente mediante PowerShell.
El ataque comienza con una página CAPTCHA falsa inyectada mediante iframe en sitios legítimos comprometidos (clínicas de tratamiento capilar, fabricantes de modelos, librerías, comercios y concesionarios). Los instaladores MSI fraudulentos distribuidos por ClickFix descargan LunexLoader, que elude el control de cuentas de usuario (UAC) utilizando el objeto COM CMSTPLUA.
Una vez ejecutado, Psychedelic Stealer exfiltrata credenciales de siete navegadores basados en Chromium (Chrome, Edge, Brave, Yandex, Opera, Opera GX, Vivaldi), datos de cinco carteras de escritorio (Bitcoin Core, Litecoin, Exodus, Atomic Wallet, Electrum) y cuatro extensiones de cartera (MetaMask, OKX, SafePal). El malware establece persistencia mediante una clave de registro Run, una tarea programada oculta y registra un puente de mensajería nativa de Chrome respaldado por un script PowerShell de 13.200 bytes que permite operaciones de lectura/escritura de archivos, descarga y ejecución de programas.
Desde junio de 2026, se han identificado 28 paneles únicos de comando y control distribuidos en 13 países. El análisis sugiere desarrolladores rusos u operadores que venden la plataforma. La técnica BYOVD con blanqueo de callbacks del kernel representa un enfoque silencioso de neutralización de EDR que deja los productos de seguridad ejecutándose pero sin visibilidad.
Puntos clave
- Explota CVE-2023-20598 en driver AMD PDFWKRNL.sys para desactivar herramientas de seguridad
- Roba credenciales de 7 navegadores Chromium y datos de 9 carteras de criptomonedas
- Establece persistencia mediante tarea programada oculta y script PowerShell en el contexto de Chrome
- 28 paneles C2 identificados en 13 países, indicando expansión de la plataforma MaaS
Figuras de la fuente
