通过受损的乌克兰网站分发的 Psychedelic Stealer 恶意软件，使用 ClickFix 风格的 Cloudflare 验证检查，是一个名为 Lunex 的更广泛恶意软件即服务 (MaaS) 平台的一部分。
新的发现来自 Ontinue，该公司将这一活动描述为针对讲乌克兰语用户的四阶段攻击链。
“攻击链始于一个假 CAPTCHA 页面，并以部署一个功能齐全的 C2 代理为高潮，”Ontinue 的威胁研究员 Rhys Downing 在一份技术报告中表示。“该窃取者从七个基于 Chromium 的浏览器中提取凭据和数据，外泄加密货币钱包，并通过安装在受害者浏览器中的基于 PowerShell 的本机消息主机建立持久的远程文件系统访问。”
感染利用通过 ClickFix 交付的虚假 MSI 安装程序触发一系列操作，包括交付一个名为 LunexLoader 的加载程序，该加载程序旨在绕过 Windows 上的用户账户控制 (UAC)，利用自带漏洞驱动程序 (BYOVD) 攻击进行防御规避，最终下载窃取者有效负载。
使用 BYOVD 技术具有重要意义，尤其是因为它很少作为信息窃取者等最终阶段有效负载的前奏。Lunex 利用一个脆弱的内核模式驱动程序 AMD Radeon Software（“PDFWKRNL.sys”），该驱动程序易受 CVE-2023-20598 的影响，以提升权限并盲目安全相关进程，同时保持它们运行。
Psychedelic Stealer 本周早些时候首次被 Arctic Wolf Labs 记录，详细描述了威胁行为者妥协合法网站的作案手法，这些网站属于一家头发治疗诊所、一家模型制造商、一家专业书商、一家心理机构、一家工具零售商和一家汽车零售商，以注入一个旨在提供 ClickFix 引诱的 iframe 元素。
“我们对攻击链的分析发现，在窃取者被交付之前，恶意软件被设计为使用一个合法但脆弱的驱动程序来关闭受害者机器上的安全工具。随着这些保护被禁用，信息窃取者随后被部署以获取浏览器密码、会话 cookie 和加密货币钱包数据，”Downing 告诉 The Hacker News。
在网络安全文献中，Lunex 的最早参考可以追溯到 2026 年 6 月，当时 BlueTeamCoolTeam 的 Luke Wilkinson 确定了美国、芬兰、德国、荷兰和乌克兰的六个活跃的 Lunex Stealer 指挥控制 (C2) 面板。
LunexStealer（又名 Psychedelic Stealer）C2 面板 | 来源：BlueTeamCoolTeam
值得注意的是，Psychedelic Stealer 和 LunexStealer 都指的是 MaaS 平台的同一组件。“‘Psychedelic’ 是在受害者设备上运行的恶意软件文件的名称，而 Lunex 是出售给多个犯罪团伙的基础平台，这就是‘Lunex’和‘LunexStealer’名称的原因，”Downing 解释道。
在执行时，LunexStealer 通过 HTTP 与 Lunex 面板 193.178.159[.]128 通信，以促进全面的信息窃取 -
从 Google Chrome、Microsoft Edge、Brave、Yandex Browser、Opera、Opera GX 和 Vivaldi 中窃取凭据。
枚举五个桌面加密货币钱包，Bitcoin Core、Litecoin、Exodus、Atomic Wallet 和 Electrum，以及四个浏览器扩展钱包，MetaMask、MetaMask Legacy、OKX Wallet 和 SafePal Wallet，并从中外泄相关数据。
使用注册表运行键、名为“psychedelicloveUtils”的隐藏计划任务以及注册一个 Chrome 本机消息桥或主机 (NMH) 来建立持久性，使窃取者能够执行额外操作。
“该主机由一个 13,200 字节的 PowerShell 脚本支持，该脚本嵌入在 .rdata 部分中，实现了通过标准输入和输出的 Chrome 本机消息协议，”Downing 说。“NMH 在 Chrome 的进程上下文中运行。它能在窃取者二进制文件被删除、系统重启和浏览器重启后继续存在。”
PowerShell 脚本支持六个文件系统操作 -
list_drives，枚举所有驱动器字母 C 到 Z
list_dir，列出目录内容及文件大小
read_file，以 512 KB 块读取任意文件，最大可达 524 MB
write，向任意文件路径写入任意数据
download，从系统下载文件
run，执行任意程序
更重要的是，LunexStealer 通过操纵 Chrome 安全首选项注入恶意 Chrome 扩展，并声明对 cookie、历史记录、书签、标签、存储、代理、脚本、声明性网络请求以及所有 HTTP 和 HTTPS URL 的广泛权限。这使得该扩展可以完全监控和控制受害者的浏览器活动。
对 Lunex 面板的分析指向一个讲俄语的开发者或开发团队，识别出 13 个国家中 28 个独特面板，标志着自 2026 年 6 月以来的重大扩展。这些面板托管在俄罗斯、美国、英国、荷兰、法国、德国、土耳其和孟加拉国。
“在短短几个月内的这种增长表明，该平台正在积极扩展，并被一个威胁行为者使用或出售给其他行为者，而不仅仅是单一操作员，”Downing 说。
在土耳其托管的一个面板被发现解析到五个网络钓鱼域 -
account-sams-club[.]com
teamwork-recover-password[.]com
namshi-uae[.]com
whatsappbusineses[.]com
ibraq-perfumes[.]com
这表明该 MaaS 平台的功能集不仅限于凭据窃取，还能实现品牌冒充和网络钓鱼。
“使用 PDB 引导的内核回调归零而不是进程终止的 BYOVD 交付链，代表了一种更安静的 EDR 中和方法，它使安全产品继续运行但失去视力，”Ontinue 说。
“经过验证的测试表明，HVCI 和当前的 Microsoft 脆弱驱动程序阻止列表都无法阻止该链中使用的特定 PDFWKRNL.sys 变体加载，这一漏洞仍然存在，尽管该驱动程序哈希已被列入目录。”