Lunex: как AMD-драйвер помогает похитителю данных «ослепить» защиту

Компания Ontinue опубликовала разбор вредоносной платформы Lunex, работающей по модели «вредоносное ПО как услуга» (MaaS). Её похититель данных, известный как Psychedelic Stealer, распространяется через взломанные украинские сайты и нацелен прежде всего на украиноязычных пользователей.

Четыре стадии заражения

Атака начинается с поддельной страницы CAPTCHA в стиле ClickFix, имитирующей проверку Cloudflare. Через фальшивые MSI-установщики жертве подсовывают загрузчик LunexLoader, который обходит контроль учётных записей (UAC) в Windows через COM-объект CMSTPLUA, а затем скачивает основную полезную нагрузку.

Самое примечательное — приём Bring Your Own Vulnerable Driver: злоумышленники используют уязвимый драйвер AMD Radeon Software (PDFWKRNL.sys, уязвимость CVE-2023-20598), чтобы повысить привилегии и «ослепить» процессы защиты. При этом средства безопасности не завершаются, а продолжают работать вслепую — обнулением колбэков ядра. По данным Ontinue, ни HVCI, ни актуальный список заблокированных драйверов Microsoft не мешают загрузке этой версии драйвера, хотя её хеш занесён в проект LOLDrivers ещё в марте 2026 года. Такой приём редко предшествует запуску обычного инфостилера.

Что крадёт Psychedelic

Похититель извлекает учётные данные из семи браузеров на основе Chromium — Chrome, Edge, Brave, Yandex Browser, Opera, Opera GX и Vivaldi, — а также данные пяти настольных криптокошельков (Bitcoin Core, Litecoin, Exodus, Atomic Wallet, Electrum) и четырёх кошельков-расширений (MetaMask, MetaMask Legacy, OKX Wallet, SafePal Wallet).

Закрепление обеспечивается через ключ автозагрузки в реестре, скрытую задачу планировщика с именем «psychedelicloveUtils» и хост нативного обмена сообщениями Chrome. Последний реализован PowerShell-скриптом на 13 200 байт, встроенным в секцию .rdata; он работает в контексте процесса Chrome и переживает удаление тела вредоноса, перезагрузку системы и перезапуск браузера. Скрипт умеет перечислять диски и каталоги, читать и записывать произвольные файлы, скачивать данные и запускать программы. Дополнительно внедряется вредоносное расширение Chrome с широчайшими правами — полный контроль над активностью в браузере.

Растущая платформа

Анализ панели управления указывает на русскоязычного разработчика. Если в июне 2026 года было известно шесть C2-панелей, то теперь их насчитывается 28 в 13 странах. Одна из панелей в Турции связана с фишинговыми доменами, имитирующими Sam's Club, Namshi, WhatsApp Business и другие бренды, — то есть платформа предлагает не только кражу данных, но и фишинг.

Источник: The Hacker News