Массовая фишинг-атака на украинский бизнес через поддельный Cloudflare
На территории Украины активизировалась новая киберугроза — фишинговая кампания, организованная российскими злоумышленниками. Жертвами атак становятся владельцы медицинских клиник, интернет-магазинов и других коммерческих структур. Преступники используют поддельные системные уведомления для обмана пользователей.
Как работает схема фейковой проверки безопасности
Злоумышленники внедряют вредоносный код в легитимные веб-сайты. Когда пользователь открывает такую страницу, ему показывают поддельное окно проверки Cloudflare на украинском языке. Атака развивается по четко продуманному сценарию.
Сначала вредонос скрытно копирует в буфер обмена команду msiexec.exe. На экране появляется инструкция открыть системное окно через комбинацию Win+R и вставить скопированный текст. Сайт имитирует загрузку на протяжении 35 секунд, что заставляет жертву выполнить команду раньше, чем активируется кнопка подтверждения. Запустив инструкцию, пользователь загружает MSI-установщик с домена uasputnik[.]com, который разворачивает в системе файл psychedeliclove.exe.
Возможности вируса Psychedelic Stealer и масштабы атаки
Обнаруженное вредоносное программное обеспечение предназначено для кражи конфиденциальной информации и установления длительного доступа к компьютерам. Вирус экстрагирует сохраненные пароли и токены из браузеров Chrome, Edge, Brave и Opera, а также сканирует системы в поиске криптокошельков — MetaMask, Trust Wallet, Exodus, Atomic Wallet и других. Вредонос может модифицировать профили браузеров и выполнять команды с командного сервера.
Исследователи обнаружили панель управления кампанией под названием «РУБЛЕВКА TDS». Согласно статистике, из 557 попаданий на инфицированные страницы 446 приходятся на Украину. Русскоязычный интерфейс и направленность на украинскую аудиторию явно указывают на российское происхождение атак.
Дополнительные угрозы RemotePanel и BoundSiphon
Параллельно специалисты зафиксировали применение аналогичной методики для распространения опасных модулей RemotePanel и BoundSiphon. В этом варианте преступники обходят контроль учетных записей и устанавливают исключения в антивирусном программном обеспечении Microsoft Defender. После этого на компьютер загружается RemotePanel, маскирующийся под службу синхронизации времени Windows и дающий полный удаленный доступ к ПК.
Одновременно в памяти системы запускается BoundSiphon — модуль для перехвата паролей и документов, который способен преодолевать современные механизмы защиты Chromium App-Bound Encryption. Специалисты по безопасности рекомендуют пользователям соблюдать осторожность, воздерживаться от ввода неизвестных команд в системные окна и внимательно проверять адреса веб-сайтов.
