Psychedelic
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Psychedelic es un infostealer que se distribuye mediante una página falsa de verificación de Cloudflare en ucraniano. La estafa copia un comando de instalación de Windows al portapapeles para que la víctima lo ejecute manualmente. Este proceso descarga un paquete MSI que entrega el software malicioso etiquetado como Psychedelic. Se reporta en fuentes de inteligencia de amenazas recientes.
Cómo llega
Entra mediante una página falsa de verificación de Cloudflare en ucraniano inyectada vía iframes en sitios web. El usuario copia un comando de instalación de Windows al portapapeles y lo pega en el diálogo Ejecutar. Este comando descarga un paquete MSI que instala el infostealer.
Qué hace una vez dentro
El malware se entrega a través de un paquete MSI que la víctima descarga y ejecuta manualmente tras copiar el comando del portapapeles. Una vez instalado, opera como un infostealer, aunque la evidencia no detalla capacidades específicas de robo de datos más allá de su etiqueta interna. No se describen capacidades de persistencia o movimiento lateral en la red.
A quién ataca
Apunta a usuarios que visitan sitios web comprometidos que inyectan iframes para mostrar la página falsa. El señuelo está en ucraniano, lo que sugiere un enfoque geográfico o lingüístico específico hacia hablantes de ese idioma. No se especifican sectores industriales ni regiones adicionales en la evidencia proporcionada.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Desarrollo de recursos | Server | T1584.004 |
| Acceso inicial | Drive-by Compromise | T1189 |
| Acceso inicial | Phishing | T1566 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Software Extensions | T1176 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1068 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Access Token Manipulation | T1134 |
| Sigilo | System Binary Proxy Execution | T1218 |
| Sigilo | Msiexec | T1218.007 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Recolección | Input Capture | T1056 |
| Recolección | Clipboard Data | T1115 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2026-76461 | Cisco Secure Email Gateway | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-84869 | ConnectWise ScreenConnect | 9.9 | Sí | AlienVault OTX (presunta) |
| CVE-2026-85102 | Check Point Multiple Products | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
