Psychedelic Stealer es un malware parte de la plataforma Lunex que ataca usuarios ucranianos mediante sitios web comprometidos y falsos CAPTCHAs. Utiliza controladores vulnerables de AMD para desactivar herramientas de seguridad y robar credenciales de navegadores, billeteras de criptomonedas y datos personales. Además, establece persistencia en el sistema y permite el control remoto total del navegador de la víctima.





The Psychedelic Stealer
El malware distribuido a través de sitios web ucranianos comprometidos, utilizando comprobaciones de verificación de Cloudflare al estilo ClickFix, es parte de una plataforma de malware como servicio (MaaS) más amplia llamada Lunex.

Los nuevos hallazgos provienen de Ontinue, que describió la actividad como una cadena de ataque de cuatro etapas dirigida a usuarios de habla ucraniana.

"La cadena de ataque comienza con una página de CAPTCHA falsa y culmina en el despliegue de un agente C2 completo", dijo el investigador de amenazas de Ontinue, Rhys Downing, en un informe técnico. "El stealer extrae credenciales y datos de siete navegadores basados en Chromium, exfiltra billeteras de criptomonedas y establece un acceso persistente al sistema de archivos remoto a través de un Host de Mensajería Nativa basado en PowerShell instalado en el navegador de la víctima".

La infección utiliza instaladores MSI falsos entregados a través de ClickFix para activar una serie de acciones, incluyendo la entrega de un cargador llamado LunexLoader, diseñado para evadir el Control de Cuentas de Usuario (UAC) en Windows mediante el objeto COM CMSTPLUA, aprovechar el ataque de "trae tu propio controlador vulnerable" (BYOVD) para evadir las defensas y, finalmente, descargar la carga útil del stealer.

El uso de la técnica BYOVD es significativo, sobre todo porque rara vez se emplea como precursor de una carga útil final como un stealer de información. Lunex aprovecha un controlador de modo kernel vulnerable para AMD Radeon Software ("PDFWKRNL.sys"), que es susceptible al CVE-2023-20598, para escalar privilegios y cegar los procesos relacionados con la seguridad mientras permanecen en ejecución.



Psychedelic Stealer fue documentado por primera vez a principios de esta semana por Arctic Wolf Labs, detallando el modus operandi del actor de amenazas de comprometer sitios web legítimos pertenecientes a una clínica de tratamiento capilar, un fabricante de modelos a escala, una librería especializada, un centro psicológico, una tienda de herramientas y un minorista de automóviles para inyectar un elemento iframe diseñado para servir el señuelo ClickFix.

"Nuestro análisis de la cadena de ataque encontró que, antes de que se entregue el stealer, el malware está diseñado para usar un controlador legítimo pero vulnerable para desactivar las herramientas de seguridad en la máquina de la víctima. Con esas protecciones desactivadas, el stealer de información se despliega para tomar contraseñas del navegador, cookies de sesión y datos de billeteras de criptomonedas", dijo Downing.

La referencia más antigua a Lunex en la literatura de ciberseguridad se remonta a junio de 2026, cuando Luke Wilkinson de BlueTeamCoolTeam identificó seis paneles de comando y control (C2) activos de Lunex Stealer en EE. UU., Finlandia, Alemania, Países Bajos y Ucrania.


Panel C2 de LunexStealer (también conocido como Psychedelic Stealer) | Fuente: BlueTeamCoolTeam

Vale la pena señalar que tanto Psychedelic Stealer como LunexStealer se refieren al mismo componente de la plataforma MaaS. "'Psychedelic' es el nombre del archivo de malware que se ejecuta en los dispositivos de las víctimas, mientras que Lunex es la plataforma subyacente que se vende a múltiples grupos criminales, razón por la cual se usan los nombres 'Lunex' y 'LunexStealer'", explicó Downing.

Al ejecutarse, LunexStealer se comunica con el panel de Lunex en 193.178.159[.]128 a través de HTTP para facilitar el robo integral de información:

* Robar credenciales de Google Chrome, Microsoft Edge, Brave, Yandex Browser, Opera, Opera GX y Vivaldi.
* Enumerar cinco billeteras de criptomonedas de escritorio (Bitcoin Core, Litecoin, Exodus, Atomic Wallet y Electrum) y cuatro billeteras de extensiones de navegador (MetaMask, MetaMask Legacy, OKX Wallet y SafePal Wallet), y exfiltrar los datos relevantes de ellas.
* Establecer persistencia mediante una clave de ejecución del Registro, una tarea programada oculta llamada "psychedelicloveUtils" y registrar un puente o host de mensajería nativa de Chrome (NMH) que permite al stealer realizar acciones adicionales.

"El host está respaldado por un script de PowerShell de 13,200 bytes incrustado en la sección .rdata que implementa el protocolo de mensajería nativa de Chrome sobre entrada y salida estándar", dijo Downing. "El NMH opera dentro del contexto del proceso de Chrome. Sobrevive a la eliminación del binario del stealer, a los reinicios del sistema y a los reinicios del navegador".

El script de PowerShell admite seis acciones del sistema de archivos:

* list_drives, para enumerar todas las letras de unidad de la C a la Z
* list_dir, para listar el contenido del directorio con los tamaños de archivo
* read_file, para leer archivos arbitrarios en trozos de 512 KB y aquellos de hasta 524 MB
* write, para escribir datos arbitrarios en cualquier ruta de archivo
* download, para descargar archivos del sistema
* run, para ejecutar programas arbitrarios

Además, LunexStealer inyecta una extensión maliciosa de Chrome manipulando las Preferencias Seguras de Chrome y declara permisos extensos para cookies, historial, marcadores, pestañas, almacenamiento, proxy, scripting, declarativeNetRequest y todas las URLs HTTP y HTTPS. Esto le otorga a la extensión visibilidad y control completos sobre la actividad del navegador de la víctima.

El análisis del panel de Lunex apunta a un desarrollador o equipo de desarrollo de habla rusa, con 28 paneles únicos identificados en 13 países, lo que marca una expansión importante desde junio de 2026. Estos paneles están alojados en Rusia, EE. UU., Reino Unido, Países Bajos, Francia, Alemania, Turquía y Bangladesh.

"Ese crecimiento en solo unos pocos meses muestra que la plataforma se está expandiendo activamente y está siendo utilizada por un actor de amenazas o vendida a otros actores, no solo por un único operador", dijo Downing.

Se ha descubierto que uno de los paneles alojados en Turquía resuelve a cinco dominios de phishing:

* account-sams-club[.]com
* teamwork-recover-password[.]com
* namshi-uae[.]com
* whatsappbusineses[.]com
* ibraq-perfumes[.]com

Esto indica que el conjunto de características de la plataforma MaaS se extiende más allá del robo de credenciales para permitir también la suplantación de marca y el phishing.

"La cadena de entrega BYOVD, que utiliza el borrado de callbacks del kernel guiado por PDB en lugar de la terminación del proceso, representa un enfoque más silencioso para la neutralización de EDR que deja los productos de seguridad ejecutándose pero ciegos", dijo Ontinue.

"Las pruebas validadas demostraron que ni HVCI ni la lista de bloqueo de controladores vulnerables actual de Microsoft evitan que la variante específica de PDFWKRNL.sys utilizada en esta cadena se cargue, una brecha que persiste a pesar de que el hash del controlador ha estado catalogado en el proyecto LOLDrivers desde marzo de 2026".

Fuente:
THN