Нова загроза ClickFix: як через фейковий Cloudflare українські сайти заражають шкідником Psychedelic Stealer

Дослідники з питань кібербезпеки (зокрема Arctic Wolf Labs та видання The Hacker News) зафіксували масове компрометування легітимних українських сайтів. На зламаних ресурсах з’являється фейкова сторінка перевірки «Я не робот», яка змушує користувачів власними руками запускати шкідливий код у системі Windows.

У цій статті ми детально розберемо механіку атаки ClickFix, анатомію стілера Psychedelic, а також надамо чек-лист захисту для власників вебсайтів та звичайних користувачів.

1. Що таке ClickFix і чому ця техніка така небезпечна?

ClickFix — це техніка соціальної інженерії, яка замість звичного завантаження файлів змушує відвідувача сайту самостійно виконати шкідливу команду.

Як працює вектор атаки:

1. Злам вебсайту (Initial Access): Хакери знаходять уразливості в CMS (наприклад, застарілі плагіни WordPress) або викрадають доступи до адмінки.
2. Ін’єкція скрипта: На сайт вбудовується сторонній iframe, який завантажує спеціальний JavaScript.
3. Фейковий Cloudflare CAPTCHA: Користувач бачит стандартне вікно «Підтвердження особи» від Cloudflare українською мовою.
4. Підміна буфера обміну (Clipboard Hijacking): У момент, коли користувач клікає на кнопку перевірки, фоновий скрипт незапобіжно копіює в його буфер обміну шкідливу команду.
5. Соціальна інженерія: На екрані з’являється інструкція:
   

   «Натисніть Win + R → Вставте текст (Ctrl + V) → Натисніть Enter»

Якщо відвідувач виконує ці дії, Windows запускає службу msiexec.exe, яка фоново викачує шкідливий .msi-пакет з сервера зловмисників і встановлює стілер.

2. Аналіз шкідника Psychedelic Stealer: що він викрадає?

Отриманий таким чином завантажувач розгортає новий шкідливий софт — Psychedelic Stealer. Це 64-бітний стілер, розроблений для збору максимально ширшого спектра конфіденційних даних:

• Облікові дані та паролі: Витягує збережені сесії та паролі з усіх популярних Chromium-браузерів (Chrome, Edge, Brave, Opera, Vivaldi тощо).
• Криптогаманці: Сканує розширення браузерів та десктопні додатки (MetaMask, Trust Wallet, Exodus, Electrum, Bitcoin Core та інші).
• Токени авторизації: Викрадає активні сесії та токени акаунтів для обходу двофакторної автентифікації (2FA).
• Закріплення в системі: Створює завдання в системному планувальнику Windows (Scheduled Tasks), що дозволяє йому залишатися в системі навіть після перезавантаження та очікувати нових команд від C2-сервера.

3. Чому під загрозою опинився український бізнес?

Аналітики зазначають, що зловмисники масово зламують саме сайти українських компаній — від клінік та видавництв до інтернет-магазинів автозапчастин та інструментів.

Відвідувачі довіряють знайомим українським доменам, не підозрюючи, що на самому ресурсі вже лежить шкідливий ін’єкційний код. Мережеві сліди, мовні локалізації та брендінг панелей управління вказують на російське походження даної кіберкампанії.

4. Чек-лист: як захистити свій сайт та сервер

А. Для власників сайтів та вебмайстрів:

• Оновлення CMS та плагінів: Більшість ін’єкцій відбуваються через застарілі версії WordPress, OpenCart або їх розширень.
• Моніторинг цілісності файлів: Налаштуйте автоматичну перевірку файлів сайту на наявність чужорідних iframe або сторонніх JS-скриптів.
• Суворі заголовки CSP (Content Security Policy): Обмежуйте джерела, з яких сайт може завантажувати зовнішні скрипти.
• Ізоляція та бекапи: Зберігайте щоденні автономні резервні копії (Offsite Backups) на ізольованому від основного вебсервера сховищі.

Б. Для звичайних користувачів та співробітників:

Запом’ятайте правило: Жоден справжній сервіс (Cloudflare, Google, Microsoft) НІКОЛИ не попросить вас натискати Win + R і виконувати команди з буфера обміну!

Якщо ви випадково скопіювали та виконали подібну команду — негайно ізолюйте ПК від мережі, змініть усі паролі з іншого пристрою та зверніться до системного адміністратора.