Chiến dịch ClickFix giả mạo Cloudflare phát tán Psychedelic Stealer
"An active ClickFix campaign compromised legitimate Ukrainian websites to inject fake Cloudflare verification pages that tricked users into running an MSI installer, ultimately delivering the previously undocumented Psychedelic Stealer. The malware harvests browser passwords, tokens, wallet data, and host information, establishes persistence, and can fetch additional payloads and tasks from a C2 server; no CVE is mentioned, and the primary fix is to remove the injected lure/iframe content and block the malicious domains and infrastructure."
Ảnh hưởng trực tiếp đến mật khẩu, token và ví tiền mã hóa của người dùng; có thể dẫn tới chiếm quyền tài khoản và cài thêm mã độc.
Có thể gây rò rỉ dữ liệu, gián đoạn vận hành và làm suy giảm uy tín website nếu hạ tầng bị chèn nội dung lừa đảo.
Một chiến dịch ClickFix đang lợi dụng các website doanh nghiệp tại Ukraine đã bị xâm nhập để chèn trang xác minh giả mạo Cloudflare, nhằm dụ người dùng chạy một MSI installer và cài mã độc Psychedelic Stealer. Theo báo cáo kỹ thuật, trang lừa đảo sao chép lệnh cài đặt vào clipboard rồi hướng dẫn nạn nhân dán vào hộp thoại Windows Run.
Mã độc này thu thập mật khẩu trình duyệt, token tài khoản, dữ liệu ví tiền mã hóa và thông tin máy chủ; đồng thời thiết lập persistence bằng Scheduled Task và kết nối tới C2 server để nhận thêm nhiệm vụ. Các trình duyệt bị nhắm tới gồm Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi và Yandex. Ngoài ra, chiến dịch còn ghi nhận các payload MSI khác và một bảng điều khiển quản lý lure đang hoạt động.
Khuyến nghị kỹ thuật: gỡ bỏ iframe/lure chèn trái phép khỏi website, chặn domain và hạ tầng độc hại, giám sát lưu lượng tới các endpoint bất thường, và kiểm tra máy trạm có dấu hiệu chạy msiexec.exe hoặc tải file MSI không rõ nguồn gốc. Đội SOC nên rà soát log web, EDR và proxy để phát hiện hành vi tương tự.