แฮกเกอร์ใช้แคมเปญ ClickFix ฉวยโอกาสเว็บไซต์ธุรกิจยูเครน แทรกหน้าต่าง Cloudflare ปลอมเพื่อหลอกผู้ใช้คลิปคำสั่งติดตั้งมัลแวร์ Psychedelic Stealer ที่ยังไม่เคยมีการรายงานมาก่อน ผู้ใช้ที่คลิ๊กหน้าต่างจะถูกบังคับให้ปัดคัดคำสั่ง msiexec.exe ไปยัง Windows Run แล้วติดตั้งไฟล์ MSI ที่มีชื่อ elita.msi ซึ่งเชื่อมต่อกับเซิร์ฟเวอร์ C2 เพื่อดึงข้อมูลผ่าน API ที่มีหน้าที่เก็บข้อมูลบัญชี โทเคน กระเป๋าเงินคริปโต และข้อมูลระบบ แคมเปญนี้มีการจัดการแผงควบคุม (dashboard) ที่บันทึกการเข้าชม 457 ครั้งในยูเครน ซึ่งสอดคล้องกับการใช้ภาษาอูเครนและข้อมูลที่จัดทำโดยแฮกเกอร์ที่คาดว่าเป็นผู้ดำเนินการจากประเทศรัสเซีย มัลแวร์ Psychedelic Stealer มีความสามารถดึงข้อมูลจากเบราว์เซอร์ Chromium รวมถึงกระเป๋าเงินคริปโต เช่น MetaMask และ Exodus แล้วส่งข้อมูลผ่าน API ที่มีชื่อ /api/v1/ext/passwords และ /api/v1/ext/wallets พร้อมกับติดตั้งตัวขยาย (extension) ยังโปรไฟล์เบราว์เซอร์เพื่อสื่อสารกับระบบภายใน โปรแกรมยังสามารถรับคำสั่งเพิ่มเติมผ่าน /api/v1/agent/tasks?hwid=%s ซึ่งระบุตัวตนผู้ใช้ด้วย ID ที่ไม่ซ้ำกัน ทำให้แฮกเกอร์สามารถสั่งให้รันไฟล์ EXE, BAT, PowerShell หรือไฟล์อื่นๆ เพิ่มเติมได้ การโจมตีนี้มีการใช้โดเมน uasputnik.com ที่ลงทะเบียนเมื่อวันที่ 9 กันยายน 2569 ซึ่งเป็นจุดเชื่อมต่อกับแผงควบคุมที่มีการบันทึกการเข้าชม 557 ครั้ง รวมถึงการคลิก 426 ครั้งใน 32 ประเทศ โดยยูเครนเป็นเป้าหมายหลักด้วยการเข้าชม 446 ครั้งและคลิก 351 ครั้ง ซึ่งสอดคล้องกับการใช้ภาษาอูเครนในขั้นตอนการหลอกล่อและข้อมูลที่จัดทำโดยแฮกเกอร์ที่คาดว่าเป็นผู้ดำเนินการจากประเทศรัสเซีย
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว