ウクライナの正規Webサイトが悪用、偽のCloudflare画面で新型マルウェア「Psychedelic」を拡散する攻撃が発覚

要点

• ウクライナの正規ビジネスサイトが侵害され、偽のCloudflare認証画面を表示させる攻撃が確認された。

• 訪問者にコマンドを実行させる「ClickFix」手法を通じ、未確認の新型マルウェア「Psychedelic」を配布している。

• 感染すると主要ブラウザのパスワードや暗号資産ウォレット情報が窃取され、追加ペイロードの実行も可能になる。

• 攻撃者が運用する管理パネル「Rublevka TDS」の存在も特定され、ウクライナを中心に被害が記録されている。

• セキュリティ企業のArctic Wolf Labsは2026年9月24日、ウクライナ国内の複数の正規Webサイトが悪用され、偽の検証画面を通じて新型マルウェアを感染させるサイバー攻撃キャンペーンを確認したと発表した。攻撃にはユーザーを騙してコマンドを実行させる「ClickFix」と呼ばれる手口が用いられており、これまで文書化されていなかった「Psychedelic（サイケデリック）」と呼ばれる情報窃取型マルウェア（インフォスティーラー）が配布されているという。

正規サイトへのiframe挿入とClickFixによる誘導

攻撃の対象となったWebサイトには、ヘアトリートメントクリニック、模型メーカー、専門書店・出版社、心理療法施設、工具小売店、自動車小売店など、ウクライナ国内の多様な正規ビジネスサイトが含まれている。これらのサイトには不正なiframe要素が挿入されており、攻撃者が管理するJavaScriptファイル（fsputnik[.]com/tds/tracker[.]js）が読み込まれる仕組みになっていた。

改ざんされたサイトにアクセスすると、Cloudflareの認証画面を模した偽の画面がウクライナ語の案内とともに表示される。訪問者がページ上で操作を行うと、画面上に指示が表示されるよりも前の段階で、Windows Installerを呼び出すコマンド（msiexec.exeコマンド）が密かにクリップボードへコピーされる。

その後、画面上で3秒間の読み込み表示（スピナー）を経て、Windowsの「ファイル名を指定して実行」ダイアログを開き、コピーされた内容を貼り付けて実行するよう促す指示が表示される。画面内の「完了（Done）」ボタンは約35秒間にわたり無効化されるが、Arctic Wolf Labsによると、これは画面の表示進行を制御するための演出であり、ユーザーが実際にダイアログを開いてコマンドを実行したかを検証しているわけではないという。

MSIインストーラーを介した「Psychedelic」の配布

指示に従ってクリップボードのコマンドを実行すると、2026年9月9日に登録されたドメイン「uasputnik[.]com」から「elita.msi」などのWindows MSIインストーラーが取得される。今回の調査では、ほかにも「miks.msi」「astra.msi」「harbor.msi」「neon.msi」「sova.msi」「vyse.msi」といった複数のMSIファイル名が確認された。

このMSIインストーラーが実行されると、外部サーバー（107.175.82[.]242:9000）から次段階のペイロードとなる「psychedeliclove.exe」がダウンロードされる。この64ビットWindows実行可能ファイルが、新型マルウェア「Psychedelic Stealer」の実体である。

幅広い認証情報と暗号資産ウォレットを窃取

Psychedelic Stealerは、端末内から広範な機密情報を収集して外部へ送信する機能を備えている。具体的な機能は以下の通りだ。

• ブラウザの認証情報窃取: Google Chrome、Microsoft Edge、Brave、Opera、Opera GX、Vivaldi、YandexなどのChromium系ブラウザからパスワードを収集し、/api/v1/ext/passwordsエンドポイントを通じて送信する。
• アカウントトークンの収集: ブラウザに関連付けられた各種アカウントトークンを取得し、/api/v1/ext/tokensエンドポイントへ送信する。
• 暗号資産ウォレットの探索: MetaMask、Trust Wallet、OKX Wallet、SafePalなどのブラウザ拡張機能や、Exodus、Atomic Wallet、Electrum、Bitcoin Core、Litecoin Coreといったデスクトップアプリをスキャンし、ウォレット関連データを/api/v1/ext/walletsエンドポイントへ送信する。
• ホスト情報の送信: 感染端末の詳細なシステム情報を収集し、/api/v1/checkinエンドポイントへ送信する。

さらに同マルウェアは、特定のブラウザプロセスを強制終了させた上で、内部に保持している拡張機能アーカイブをブラウザプロファイル内に展開し、ネイティブメッセージングブリッジ（ブラウザ拡張機能とローカルアプリケーション間で通信を行う仕組み）を構築する。Windowsのタスクスケジューラ（Scheduled Tasks）を用いた自動起動の永続化も設定される。

Arctic Wolf Labsは、同マルウェアがバックグラウンドで定期的に拡張機能関連の処理を実行した後にC2（コマンド＆コントロール）サーバーへポーリングを行っている点を指摘し、単発のデータ収集にとどまらず、ブラウザコンポーネントの操作がマルウェアの継続的な実行サイクルに組み込まれていると説明している。また、固有の端末識別子（hwid）を用いた/api/v1/agent/tasks?hwid=%sエンドポイントから指示を受け取り、EXE、COM、BAT、CMD、MSI、PowerShell形式のペイロードを実行できるため、攻撃者が後から追加のマルウェアを投入することも可能となっている。

露出した管理パネル「Rublevka TDS」と被害の広がり

調査の過程では、インストーラーの配布元と同じ「uasputnik[.]com」ドメイン上に、外部からアクセス可能な状態となっていたルアー（誘導）管理パネル「РУБЛЁВКА TDS（Rublevka TDS）」が発見された。このパネルはマルウェア自体のC2サーバー（193.178.159[.]128:8080）とは別に運用されており、Webルアー用コマンドの設定や訪問者の行動ログの記録に使用されていた。

管理パネルのダッシュボードは2秒ごとに訪問者データをポーリングし、ユーザーが偽画面のどの段階まで進んだかをほぼリアルタイムで把握できる設計になっていた。分析時点で同パネルには世界32か国から557回の閲覧、426回のクリック、79回の完了イベントが記録されており、そのうち閲覧数の446回がウクライナ国内からのアクセスであったことが確認されている。