Hacked Ukrainian Sites Serve Fake Cloudflare ClickFix Lures for Psychedelic Stealer
The Hacker News · 24 sept, 16:29
Un ataque ClickFix activo ha comprometido sitios web legítimos ucranianos para inyectar falsas páginas de verificación de Cloudflare e engañar a las víctimas para descargar Psychedelic, un stealer de información previamente desconocido. La campaña, con indicios de operadores rusos, ha registrado 557 visualizaciones en 32 países, con enfoque principalmente en usuarios ucranianos. El malware roba credenciales de navegadores, tokens de cuenta y datos de carteras de criptomonedas, además de establecer persistencia mediante tareas programadas.
La cadena ClickFix utiliza un comando "msiexec.exe" para descargar un instalador MSI malicioso desde "uasputnik[.]com" (dominio registrado el 9 de septiembre de 2026). El instalador entrega Psychedelic Stealer, un ejecutable de 64 bits que extrae credenciales de navegadores basados en Chromium (Chrome, Edge, Brave, Opera, Vivaldi, Yandex) y extensiones de carteras de criptomonedas (MetaMask, Trust Wallet, OKX Wallet, SafePal, Exodus, Atomic Wallet, Electrum, Bitcoin Core, Litecoin Core).
Los sitios afectados incluyen clínicas capilares, fabricantes de modelos a escala, librerías, instalaciones psicológicas, minoristas de herramientas y concesionarios de automóviles. La interfaz del lure muestra instrucciones en ucraniano y copia un comando al portapapeles antes de mostrar el diálogo de ejecución, con un retraso de 35 segundos que controla la progresión sin verificar la ejecución real. Los operadores mantienen un panel de gestión de lures llamado "РУБЛЁВКА TDS" que registra 426 clics y 79 eventos completos en 32 países, con 71 eventos en Ucrania.
Además, Blackpoint Cyber identificó RemotePanel y BoundSiphon, componentes malware .NET entregados conjuntamente mediante ClickFix. RemotePanel establece persistencia como servicio de hora de Windows y otorga control remoto amplio, mientras BoundSiphon ejecutado desde memoria roba credenciales de navegadores, datos de carteras de criptomonedas y información de gestores de contraseñas.
Puntos clave
- Stealer Psychedelic distribuido mediante lures falsos de Cloudflare en sitios ucranianos comprometidos
- Malware extrae credenciales, tokens y datos de carteras de múltiples navegadores y extensiones de criptomonedas
- Operadores utilizan dominio registrado 9 de septiembre; panel de lure registra 557 visualizaciones, 426 clics, 79 eventos completos
- RemotePanel y BoundSiphon entregados juntos; RemotePanel ofrece persistencia y control remoto amplio
- Indicios de operadores rusos; enfoque principal en usuarios ucranianos