В Украине зафиксирован новый вирус Psychedelic Российские хакеры развернули новую фишинговую кампанию против украинского бизнеса - под удар попали сайты клиник, интернет-магазинов и других компаний. Злоумышленники маскируют атаку под системные уведомления.Об этом информирует РБК-Украина со ссылкой на The Hacker News.Фейковая проверка Cloudflare и механика ClickFixДля обмана пользователей хакеры инфицируют легитимные вебсайты вредоносным скриптом. При посещении такой страницы человек видит поддельное окно проверки безопасности Cloudflare на украинском языке.Схема инфицирования разворачивается по следующему сценариюАвтоматическое копирование: скрипт незаметно транслирует в буфер обмена Windows системную команду msiexec.exe.Руководство пользователя: на экране появляется призыв открыть системное окно "Выполнить" (Win+R) и вставить туда скопированный текст.Искусственная задержка: сайт имитирует загрузку в течение 35 секунд, чтобы заставить жертву выполнить инструкцию до того, как разблокируется кнопка подтверждения.Запустив команду, пользователь загружает MSI-установщик из домена uasputnik[.]com, разворачивающий в системе вредоносный файл psychedeliclove.exe.71% жертв - в Украине: специалисты разоблачили масштабную фишинговую кампанию из РФ (скриншот: The Hacker News )Возможности Psychedelic StealerОбнаруженное вредоносное ПО Psychedelic Stealer разработано для похищения конфиденциальных данных и сохранения длительного доступа к системе.Оно собирает сохраненные пароли и токены из браузеров Chrome, Edge, Brave, Opera, а также сканирует систему на наличие криптогаманцев (MetaMask, Trust Wallet, Exodus, Atomic Wallet и т.п.).Кроме того, вирус может изменять профили браузеров и выполнять посторонние команды с командного сервера.Аналитики Arctic Wolf обнаружили панель управления этой кампанией под названием "РУБЛЕВКА TDS". Согласно статистике панели, из 557 просмотров инфицированных страниц 446 приходится именно на Украину.Интерфейс на русском языке и фокус на украинских пользователях четко указывают на происхождение атак.RemotePanel и BoundSiphon: обход DefenderПараллельно исследователи Blackpoint Cyber зафиксировали использование аналогичной схемы ClickFix для доставки других опасных модулей - RemotePanel и BoundSiphon.В этой вариации атаки хакеры обходят контроль учетных записей (UAC) и настраивают исключения в Microsoft Defender.После этого в систему загружается RemotePanel, маскирующийся под службу времени Windows и предоставляющий полный удаленный контроль над ПК.Вместе с ним в оперативную память загружается BoundSiphon - модуль для угона паролей и документов, способный обходить новые механизмы защиты Chromium App-Bound Encryption.Специалисты по кибербезопасности призывают пользователей быть бдительными, не вводить подозрительные команды в системные окна Windows и проверять адреса сайтов.Еще больше интересного:От утечки данных до увольнения: 5 вещей, которые категорически нельзя писать в ChatGPTTelegram, Facebook и TikTok: где украинцы читают новости и смотрят сериалы