Аналітики Arctic Wolf Labs зафіксували атаку на зламані вебсайти українських компаній. Зловмисники вбудували шкідливий код, що показує відвідувачам підроблене вікно перевірки Cloudflare українською мовою. Сторінка непомітно копіює в буфер обміну команду msiexec.exe і закликає вставити її у вікно Windows «Виконати» для нібито усунення помилки.

Після виконання команди завантажується файл elita.msi, який встановлює програму Psychedelic Stealer. Шкідливий код витягує з браузерів збережені паролі, сесійні токени та криптовалютні гаманці. Дослідники виявили панель управління Рублёвка TDS, яка зафіксувала понад 446 переходів з України, що вказує на цілеспрямований характер атаки.