Sitios ucranianos pirateados distribuyen señuelos falsos de Cloudflare ClickFix para robar productos psicodélicos.

Se ha detectado una campaña activa de ClickFix que compromete sitios web legítimos de empresas ucranianas para inyectar páginas de verificación falsas de Cloudflare y engañar a las víctimas para que descarguen un programa de robo de información hasta ahora desconocido llamado Psychedelic.

"Cuando un visitante interactúa con la página, el programa copia un comando del Instalador de Windows al portapapeles y le indica que lo pegue en el cuadro de diálogo Ejecutar de Windows", explicó Arctic Wolf Labs en un informe técnico compartido con The Hacker News.

La cadena ClickFix utiliza el comando "msiexec.exe" para obtener un instalador MSI de Windows que se usa para distribuir el malware de robo de información. Esta herramienta maliciosa está diseñada para obtener contraseñas del navegador, tokens de cuenta y datos de monederos de criptomonedas, configurar tareas programadas persistentes y contactar con un servidor de comando y control (C2) para tareas adicionales.

Algunos de los sitios web comprometidos incluyen una clínica de tratamientos capilares, un fabricante de maquetas, una librería y editorial especializada, un centro psicológico, una tienda de herramientas y un concesionario de automóviles. Estos sitios afectados incluyen un elemento iframe inyectado que ejecuta código JavaScript controlado por el atacante ("fsputnik[.]com/tds/tracker[.]js").

El comando ClickFix, por su parte, descarga un instalador MSI ("elita.msi") alojado en "uasputnik[.]com", un dominio registrado el 9 de septiembre de 2026. Otras cargas útiles MSI identificadas incluyen "miks.msi", "astra.msi", "harbor.msi", "neon.msi", "sova.msi" y "vyse.msi".

"La página controlada por el atacante imita una pantalla de verificación de Cloudflare y presenta instrucciones en ucraniano", declaró Arctic Wolf. "La operación del portapapeles se produce antes de que el señuelo muestre las instrucciones de ejecución de Windows. Tras un indicador de carga de tres segundos, la página presenta un cuadro de diálogo con instrucciones y mantiene el botón 'Listo' deshabilitado durante aproximadamente 35 segundos adicionales".