Lunex wykorzystuje sterownik AMD, by wyłączyć ochronę i kraść hasła z przeglądarek

Psychedelic Stealer to część platformy malware-as-a-service Lunex, która przez podatny sterownik AMD Radeon Software (PDFWKRNL.sys, CVE-2023-20598) podnosi uprawnienia i oślepia procesy ochronne, nie zatrzymując ich działania. Tak opisuje to Ontinue w raporcie technicznym.

Atak ma cztery etapy. Zaczyna się od fałszywej strony CAPTCHA udającej weryfikację Cloudflare (technika ClickFix), która podsuwa instalator MSI. LunexLoader omija UAC w Windows przez obiekt COM CMSTPLUA, stosuje technikę BYOVD i pobiera właściwy program. Ten wykrada dane logowania z siedmiu przeglądarek opartych na Chromium oraz portfele kryptowalut, a przez Native Messaging Host w PowerShell zakłada stały zdalny dostęp do plików ofiary.

Kogo dotyczy

Według Ontinue celem są użytkownicy ukraińskojęzyczni. Arctic Wolf Labs opisało przejęte legalne strony, do których wstrzyknięto element iframe z pułapką ClickFix: klinikę leczenia włosów, producenta modeli w skali, księgarnię specjalistyczną, placówkę psychologiczną, sklep z narzędziami i sprzedawcę samochodów.