Der Psychedelische Dieb: Wenn ein CAPTCHA zu einem Installer wird

Zusammenfassung

Arctic Wolf Labs verfolgt eine Kampagne, die gefälschte Cloudflare-CAPTCHA-Köder nutzt, die in kompromittierte ukrainische Geschäftswesites injiziert werden. Der ClickFix-ähnliche Angriff überzeugt Benutzer, ein MSI-Paket auszuführen, das Psychedelic Stealer installiert, einen Infostealer, der darauf ausgelegt ist, Browser-Anmeldedaten, Kontotoken und Kryptowährungs-Wallet-Daten zu sammeln. Die Malware unterstützt auch persistente Fernsteuerungstasks durch dedizierte C2-Infrastruktur.

Untersuchung

Die Untersuchung deckte injizierte iframes auf legitimen ukrainischen Webseiten auf, die Besucher in einen gefälschten Verifizierungsablauf umleiten. Analysten identifizierten auch ein Köder-Management-Panel, das mit Rublevka TDS gebrandet ist und die Befehlskonfigurationen steuert und die Besucher-Telemetrie aufzeichnet. Die technische Analyse der MSI-Nutzlast enthüllte eine verschlüsselte URL der nächsten Stufe sowie die Kernroutinen der Malware für Anmelde- und Datendiebstahl.

Abschwächung

Organisationen sollten die verdächtige Ausführung von Windows Installer (msiexec.exe) überwachen, die von Webbrowsern oder Kommandozeilenschnittstellen gestartet werden. Webfilter sollten bekannte bösartige Domains blockieren, während Verteidiger auch legitime Webressourcen auf unautorisierte iframe-Injektionen überwachen sollten. Die Stärkung der Endpunktschutzmaßnahmen bei der Erstellung geplanter Tasks kann das Beständigkeitsrisiko weiter verringern.

Reaktion

Wird Psychedelic Stealer-Aktivität festgestellt, sollten betroffene Endpunkte isoliert werden, um weitere Datenexfiltration oder laterale Bewegungen zu stoppen. Browser-Profile und lokalen Speicher auf kompromittierte Anmeldedaten, Authentifizierungstoken und Wallet-Daten überprüfen. Netzwerk-Telemetrie auf Kommunikation mit bekannter C2-Infrastruktur überprüfen und Systeme auf unautorisierte geplante Tasks oder verdächtige native Messaging-Hosts inspizieren.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="flowchart TDn step_drive_by["T1189 – Drive-by Compromise<br>Inject iframe into legitimate websites to load malicious script from fsputnik.com"]n step_input_capture["T1056 – Input Capture<br>Use JavaScript helper to copy a malicious Windows Installer command to the clipboard via fake Cloudflare CAPTCHA"]n step_ingress_transfer["T1105 – Ingress Tool Transfer<br>Download and install Psychedelic Stealer via msiexec.exe"]n rules_for_ingress_transfer("<b>Rule Name</b>: Suspicious File Download Direct IP (via proxy)<br/><b>Rule ID</b>: 0fa3da37-f604-4547-939f-1ec135990aad")n step_persistence["T1053.005 – Scheduled Task/Job: Scheduled Task<br>Establish persistence using a scheduled task named psychedelicloveUtils"]n step_credential_theft["Steal passwords and account tokens from Chromium-based browsers"]n step_c2_communication["T1071 – Application Layer Protocol<br>Communicate with C2 server at 193.178.159.128 to retrieve tasks and payloads"]n rules_for_c2_communication("<b>Rule Name</b>: Possible C2 Communications Over HTTP To Direct IP With Uncommon Port (via proxy)<br/><b>Rule ID

Angriffsablauf