O Roubador Psicodélico: Quando um CAPTCHA se Torna um Instalador

Resumo

A Arctic Wolf Labs está acompanhando uma campanha que usa iscas de CAPTCHA falsas do Cloudflare injetadas em sites de negócios ucranianos comprometidos. O ataque no estilo ClickFix convence os usuários a executar um pacote MSI que instala o Psychedelic Stealer, um infostealer projetado para coletar credenciais de navegador, tokens de conta e dados de carteiras de criptomoedas. O malware também suporta tarefa remota persistente por meio de infraestrutura dedicada de C2.

Investigação

A investigação revelou iframes injetados em sites legítimos ucranianos que redirecionam visitantes para um fluxo de verificação falso. Os analistas também identificaram um painel de gerenciamento de iscas com a marca Rublevka TDS, que controla configurações de comando e registra telemetria de visitantes. A análise técnica do payload MSI revelou uma URL de próxima etapa criptografada junto com as rotinas principais do malware para roubo de credenciais e dados.

Mitigação

As organizações devem monitorar a execução suspeita do Windows Installer (msiexec.exe) lançado por navegadores da web ou interfaces de linha de comando. O filtro da web deve bloquear domínios maliciosos conhecidos, enquanto os defensores também devem monitorar ativos web legítimos para injeções de iframe não autorizadas. Fortalecer os controles de endpoint em torno da criação de tarefas agendadas pode reduzir ainda mais o risco de persistência.

Resposta

Quando a atividade do Psychedelic Stealer é detectada, isole os endpoints afetados para impedir a exfiltração de dados ou movimentação lateral. Audite perfis de navegador e armazenamento local para credenciais comprometidas, tokens de autenticação e dados de carteiras. Revise a telemetria de rede para comunicação com infraestrutura de C2 conhecida e inspecione sistemas para tarefas agendadas não autorizadas ou hosts de mensagens nativas suspeitos.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="flowchart TDn step_drive_by["T1189 – Drive-by Compromise<br>Inject iframe into legitimate websites to load malicious script from fsputnik.com"]n step_input_capture["T1056 – Input Capture<br>Use JavaScript helper to copy a malicious Windows Installer command to the clipboard via fake Cloudflare CAPTCHA"]n step_ingress_transfer["T1105 – Ingress Tool Transfer<br>Download and install Psychedelic Stealer via msiexec.exe"]n rules_for_ingress_transfer("<b>Rule Name</b>: Suspicious File Download Direct IP (via proxy)<br/><b>Rule ID</b>: 0fa3da37-f604-4547-939f-1ec135990aad")n step_persistence["T1053.005 – Scheduled Task/Job: Scheduled Task<br>Establish persistence using a scheduled task named psychedelicloveUtils"]n step_credential_theft["Steal passwords and account tokens from Chromium-based browsers"]n step_c2_communication["T1071 – Application Layer Protocol<br>Communicate with C2 server at 193.178.159.128 to retrieve tasks and payloads"]n rules_for_c2_communication("<b>Rule Name</b>: Possible C2 Communications Over HTTP To Direct IP With Uncommon Port (via proxy)<br/><b>Rule ID

Fluxo de Ataque