Lunex Stealer Abuses AMD Driver to Disable Security Monitoring and Steal Browser Credentials

Un malwa­re co­no­ci­do como Psy­che­de­lic Stea­ler forma parte de una pla­ta­for­ma de ci­ber­de­lin­cuen­cia como ser­vi­cio (MaaS) lla­ma­da Lunex, la cual está di­ri­gi­da prin­ci­pal­men­te a usua­rios de habla ucra­nia­na. El pro­ce­so de in­fec­ción co­mien­za cuan­do las víc­ti­mas vi­si­tan si­tios web com­pro­me­ti­dos que mues­tran pá­gi­nas fal­sas de ve­ri­fi­ca­ción al es­ti­lo Cloud­fla­re y uti­li­zan ins­ta­la­do­res fal­sos para des­ple­gar la ame­na­za.

La se­cuen­cia de ata­que em­plea un car­ga­dor para eva­dir el con­trol de cuen­tas de usua­rio en Win­dows y uti­li­za una téc­ni­ca de ex­plo­ta­ción de con­tro­la­do­res vul­ne­ra­bles pro­pios para des­ac­ti­var he­rra­mien­tas de se­gu­ri­dad sin de­te­ner­las por com­ple­to. Una vez neu­tra­li­za­das las de­fen­sas, se des­car­ga el soft­wa­re ma­li­cio­so para robar datos de na­ve­ga­ción, cre­den­cia­les de di­ver­sos na­ve­ga­do­res y car­te­ras de crip­to­mo­ne­das, ade­más de es­ta­ble­cer me­ca­nis­mos de per­sis­ten­cia re­mo­ta.

La pla­ta­for­ma Lunex se co­mu­ni­ca con pa­ne­les de con­trol ex­ter­nos y cuen­ta con scripts de Po­werShell para rea­li­zar múl­ti­ples ac­cio­nes en el sis­te­ma de ar­chi­vos del usua­rio. Asi­mis­mo, el soft­wa­re ma­li­cio­so ma­ni­pu­la las pre­fe­ren­cias del na­ve­ga­dor para in­yec­tar una ex­ten­sión ma­li­cio­sa que otor­ga con­trol y vi­si­bi­li­dad total sobre la ac­ti­vi­dad web, mien­tras que el cre­ci­mien­to de los pa­ne­les de con­trol su­gie­re una ex­pan­sión de los ope­ra­do­res de esta in­fra­es­truc­tu­ra.