El Ladrón Psicodélico: Cuando un CAPTCHA se Convierte en un Instalador

Resumen

Arctic Wolf Labs está rastreando una campaña que utiliza señuelos de CAPTCHA falsos de Cloudflare inyectados en sitios web de empresas ucranianas comprometidas. El ataque al estilo ClickFix convence a los usuarios de ejecutar un paquete MSI que instala Psychedelic Stealer, un infostealer diseñado para recopilar credenciales del navegador, tokens de cuentas y datos de billeteras de criptomonedas. El malware también admite tareas remotas persistentes a través de infraestructura C2 dedicada.

Investigación

La investigación descubrió iframes inyectados en sitios web ucranianos legítimos que redireccionan a los visitantes hacia un flujo de verificación falso. Los analistas también identificaron un panel de gestión de señuelos denominado Rublevka TDS, que controla las configuraciones de comando y registra la telemetría de los visitantes. El análisis técnico de la carga útil MSI reveló una URL de siguiente etapa cifrada junto con las rutinas principales del malware para el robo de credenciales y datos.

Mitigación

Las organizaciones deben monitorear la ejecución sospechosa de Windows Installer (msiexec.exe) iniciado por navegadores web o interfaces de línea de comandos. El filtrado web debe bloquear dominios maliciosos conocidos, mientras que los defensores también deben monitorear los activos web legítimos para detectar inyecciones de iframe no autorizadas. Fortalecer los controles de los endpoints en torno a la creación de tareas programadas puede reducir aún más el riesgo de persistencia.

Respuesta

Cuando se detecta actividad de Psychedelic Stealer, aísle los endpoints afectados para detener la exfiltración de datos o el movimiento lateral. Audite los perfiles de los navegadores y el almacenamiento local en busca de credenciales comprometidas, tokens de autenticación y datos de billetera. Revise la telemetría de la red para detectar comunicaciones con infraestructura C2 conocida e inspeccione los sistemas en busca de tareas programadas no autorizadas o hosts de mensajería nativa sospechosos.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="flowchart TDn step_drive_by["T1189 – Drive-by Compromise<br>Inject iframe into legitimate websites to load malicious script from fsputnik.com"]n step_input_capture["T1056 – Input Capture<br>Use JavaScript helper to copy a malicious Windows Installer command to the clipboard via fake Cloudflare CAPTCHA"]n step_ingress_transfer["T1105 – Ingress Tool Transfer<br>Download and install Psychedelic Stealer via msiexec.exe"]n rules_for_ingress_transfer("<b>Rule Name</b>: Suspicious File Download Direct IP (via proxy)<br/><b>Rule ID</b>: 0fa3da37-f604-4547-939f-1ec135990aad")n step_persistence["T1053.005 – Scheduled Task/Job: Scheduled Task<br>Establish persistence using a scheduled task named psychedelicloveUtils"]n step_credential_theft["Steal passwords and account tokens from Chromium-based browsers"]n step_c2_communication["T1071 – Application Layer Protocol<br>Communicate with C2 server at 193.178.159.128 to retrieve tasks and payloads"]n rules_for_c2_communication("<b>Rule Name</b>: Possible C2 Communications Over HTTP To Direct IP With Uncommon Port (via proxy)<br/><b>Rule ID

Flujo de Ataque