事件概述
安全厂商 Ontinue 发布报告《Lunex Unmasked》，揭示此前由 Arctic Wolf Labs 记录的 Psychedelic Stealer 并非独立恶意软件家族，而是名为 Lunex 的恶意软件即服务（MaaS）平台的组件。运行在受害机器上的文件名为 Psychedelic，Lunex 是售卖给多个犯罪团伙的底层平台。
攻击目标为乌克兰语用户。攻击者先入侵一批合法网站——美发诊所、模型制造商、专业书店、心理机构、工具零售商与汽车经销商——注入 iframe 投放模拟 Cloudflare 验证的 ClickFix 页面。
技术细节
四阶段攻击链
被入侵站点注入 iframe
→ ClickFix 假验证码诱导
→ 伪造 MSI 安装包
→ LunexLoader（CMSTPLUA COM 对象绕过 UAC）
→ BYOVD 加载 PDFWKRNL.sys
→ 投放 Psychedelic 窃密载荷BYOVD：不杀进程，只让其失明
Lunex 加载 AMD Radeon 软件的内核态驱动 PDFWKRNL.sys，该驱动受 CVE-2023-20598 影响（CVSS 7.8）。攻击者借此获得内核权限，做法不是终止安全产品进程，而是零化其内核回调——安全软件仍在运行、控制台显示正常，但已看不到实际行为，比被停掉的代理更难发现。
Ontinue 指出，HVCI 与微软当前的漏洞驱动阻止列表都未能拦截该变体，尽管其驱动哈希自 2026 年 3 月已收录于 LOLDrivers。
窃取内容与持久化
- 凭据：Chrome、Edge、Brave、Yandex、Opera、Opera GX、Vivaldi 七款 Chromium 内核浏览器。
- 钱包：Bitcoin Core、Litecoin、Exodus、Atomic Wallet、Electrum 五个桌面钱包，以及 MetaMask、MetaMask Legacy、OKX Wallet、SafePal 四个扩展钱包。
- 持久化：注册表 Run 键、隐藏计划任务 psychedelicloveUtils、篡改 Chrome Secure Preferences 注入恶意扩展，以及注册 Native Messaging Host。
- 远控能力：Native Messaging Host 由嵌入 .rdata 段的 13200 字节 PowerShell 脚本驱动，支持列盘符、列目录、分块读文件（最高 524 MB）、写文件、下载与执行程序六类动作，可存活于载荷删除、重启与浏览器重启之后。
样本通过 HTTP 与 193.178.159[.]128 上的面板通信。分析显示运营者使用俄语，目前已识别 28 个独立面板，分布于 13 个国家，较 6 月首次记录时明显扩大。
影响评估
把 BYOVD 用作信息窃取的前置步骤并不常见，说明商品化恶意软件正在吸收原本属于高级威胁的免杀手法。对防守方而言，最危险的认知偏差是把“EDR 进程存活”等同于“端点受保护”——本案例中防护在数分钟内即失去可见性，后续窃取与驻留全程无告警。
修复建议
- 对已知易受攻击驱动（如 PDFWKRNL.sys）的加载行为启用告警与阻断，并维护自有漏洞驱动黑名单。
- 不要只看代理心跳。核查主机遥测是否仍在持续上报，长时间静默的主机按可疑处理。
- 限制用户执行由验证页面引导下载的安装包，合法验证码不会要求下载或粘贴命令。
- 审计端点上的浏览器扩展与 Native Messaging Host 注册项，清理非授权条目。
- 将 PDFWKRNL.sys 对应修复版本纳入终端基线，并推广通行密钥，降低浏览器凭据被窃后的可用价值。