背景
根據 The Hacker News 報導與 Ontinue 的技術分析，近期被稱為 Psychedelic Stealer 的惡意程式，其實是更大規模 malware-as-a-service 平台 Lunex 的一部分；這類 MaaS 指的是把竊資工具、控制面板與部署流程包成可販售的犯罪服務，讓不同攻擊者不必自行開發完整工具鏈也能發動入侵。Ontinue 將此活動描述為四階段攻擊鏈，入口是遭入侵的烏克蘭網站與 ClickFix 風格的假 Cloudflare 驗證頁。ClickFix 的重點不是單純跳出假畫面，而是誘使使用者相信必須執行某些「修復」或「驗證」步驟，進而讓偽裝的 MSI 安裝程式落地。Arctic Wolf Labs 先前也已記錄相關手法：攻擊者入侵美髮診所、比例模型製造商、專門書商、心理機構、工具零售與汽車零售等合法網站，注入 iframe 以遞送誘餌，顯示其目標偏向烏克蘭語使用者，並善用正常網站的信任感降低戒心。
核心內容
這條攻擊鏈最值得注意的，是把 BYOVD 放在最終竊資程式之前。BYOVD 是 bring your own vulnerable driver 的縮寫，概念是攻擊者自帶一支本身有弱點、但簽章或外觀看似合法的內核驅動，藉由載入它取得更高權限或干擾防護。LunexLoader 在偽 MSI 觸發後，先利用 Windows 的 CMSTPLUA COM 物件繞過 User Account Control；UAC 是 Windows 用來提示並限制管理權限提升的機制，繞過它代表惡意程式可在較少提示下進入高權限流程。接著 LunexLoader 載入 AMD Radeon Software 的弱點內核驅動 PDFWKRNL.sys，該驅動涉及 CVE-2023-20598，用於提升權限並讓安全相關程序「仍在運作但失去視線」。Ontinue 強調這不是直接終止 EDR 或防毒處理程序，而是採用 PDB-guided kernel callback zeroing，意即依偵錯符號資訊定位內核回呼並清空，讓安全產品表面存活卻無法接收關鍵事件，屬於更安靜的致盲方式。
技術與脈絡解讀
弱點驅動完成致盲後，LunexStealer 會與 193.178.159[.]128 的 Lunex 面板以 HTTP 通訊，並展開系統化竊取。瀏覽器目標涵蓋 Google Chrome、Microsoft Edge、Brave、Yandex Browser、Opera、Opera GX 與 Vivaldi 等七種 Chromium 系瀏覽器，重點是密碼、session cookies 與可重放登入狀態的資料；session cookie 之所以重要，是因為它常能繞過密碼輸入，直接等同已登入身分。加密資產方面，它列舉 Bitcoin Core、Litecoin、Exodus、Atomic Wallet、Electrum 五種桌面錢包，以及 MetaMask、MetaMask Legacy、OKX Wallet、SafePal Wallet 四種瀏覽器擴充錢包並外傳相關資料。持久化設計也相當完整：Registry Run key 讓程式隨登入啟動，隱藏排程工作「psychedelicloveUtils」提供第二條復活路徑；更關鍵的是註冊 Chrome native messaging host，也就是瀏覽器與本機程式溝通的合法橋梁被反向利用。Ontinue 指出該 host 由一段 13,200 bytes、嵌入 .rdata 區段的 PowerShell 腳本支撐，透過標準輸入輸出實作 Chrome Native Messaging 協定，並在 Chrome 處理程序環境中存活；即使竊資主程式被刪、系統重開機或瀏覽器重啟，橋梁仍可能存在。
這個 native messaging host 支援六種檔案系統動作：list_drives 列舉 C 到 Z 磁碟，list_dir 讀取目錄與檔案大小，read_file 以 512 KB 區塊讀取最高 524 MB 檔案，write 寫入任意路徑，download 從系統取回檔案，run 執行任意程式。換言之，竊資不再是單次抓取瀏覽器資料庫，而是把瀏覽器變成遠端檔案總管與執行跳板。LunexStealer 還會操縱 Chrome Secure Preferences 注入惡意擴充功能，並宣告 cookies、history、bookmarks、tabs、storage、proxy、scripting、declarativeNetRequest 及所有 HTTP 與 HTTPS URL 等廣泛權限；這代表它不只看到網址，還可能觀察分頁、修改請求、介入代理與讀寫瀏覽器儲存，對受害者的網路活動形成近似全覽控制。
影響與限制
Lunex 的擴張速度是另一項警訊。BlueTeamCoolTeam 的 Luke Wilkinson 早在 2026 年 6 月就辨識出六個活躍 Lunex C2 面板，分布在美國、芬蘭、德國、荷蘭與烏克蘭；Ontinue 後續分析則發現 28 個獨特面板橫跨 13 國，代管地包括俄羅斯、美國、英國、荷蘭、法國、德國、土耳其與孟加拉，並指向俄語開發者或團隊。Ontinue 研究員 Rhys Downing 解釋，Psychedelic 是受害端執行檔名稱，Lunex 才是底層平台與對多個犯罪團體販售的品牌，因此 Lunex 與 LunexStealer 實指同一組件在 MaaS 架構下的不同命名層次。土耳其一個面板還解析到五個釣魚網域，包括 account-sams-club[.]com、teamwork-recover-password[.]com、namshi-uae[.]com、whatsappbusineses[.]com 與 ibraq-perfumes[.]com，顯示平台能力已從憑證竊取延伸到品牌冒用與釣魚變現。
實務上，這起事件凸顯三個防護盲點。第一，僅依賴「安全程序是否存在」的健康檢查可能失真，因為攻擊者刻意讓 EDR 活著但收不到內核回呼；較有效方向是比對遙測缺口、內核回呼完整性、驅動載入事件與瀏覽器 native messaging 註冊異常。第二，HVCI 與 Microsoft Vulnerable Driver Blocklist 在 Ontinue 驗證中仍擋不下此鏈使用的特定 PDFWKRNL.sys 變體，且該雜湊自 2026 年 3 月起已收入 LOLDrivers，代表黑名單更新、變體雜湊與實際載入路徑之間存在時間差；但這並不代表 HVCI 無效，而是說明單一清單不能取代行為偵測。第三，ClickFix 與合法網站 iframe 的組合，使「只看惡意網域」不足夠，企業應限制 MSI 來源、監控 CMSTPLUA 相關 UAC 繞過、稽核 Run key 與排程工作，並將 Secure Preferences、可疑擴充權限與 native messaging host 列入瀏覽器基線。限制方面，目前公開資料主要來自 Ontinue、Arctic Wolf Labs、BlueTeamCoolTeam 與 The Hacker News 的整理，對受害規模、實際成功率與各面板歸屬仍有限；可確認的是其技術鏈條已把驅動致盲、瀏覽器持久化與 MaaS 分銷接成一套可複製流程，防禦重點應從攔截單一 payload 轉向識別整條「合法元件被惡用」的路徑。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。