Ponad 4,000 Ofiar Wycelowanych w Operację Kradzieży Informacji opartą na Telegramie

Oparte na Pythonie złośliwe oprogramowanie PXA Stealer umożliwia hakerom kradzież danych od tysięcy użytkowników, niezauważenie, a następnie sprzedaż ich za pośrednictwem Telegrama.

Badacze z SentinelLabs raportują, że oparty na Pythonie malware PXA Stealer uruchomił nowy, potężny atak cybernetyczny, który zaraził tysiące komputerów w co najmniej 62 krajach, kradnąc ponad 200 000 haseł, informacji o kartach kredytowych, a także miliony plików cookie przeglądarek..

Operacja, która po raz pierwszy pojawiła się pod koniec 2024 roku, stała się coraz bardziej zaawansowana w 2025 roku. Operacja polega na używaniu fałszywych plików do pobrania, takich jak Haihaisoft PDF Reader czy Microsoft Word 2013, aby zmylić użytkowników i skłonić ich do otwarcia szkodliwych plików.

Te pliki następnie instalują złośliwe oprogramowanie, które kradnie wrażliwe informacje takie jak, szczegóły portfela kryptowalut, zapisane hasła, historię przeglądarki, a następnie wysyłają je na prywatne kanały Telegram za pomocą zautomatyzowanych botów.

Badacze twierdzą, że „autorzy tych kampanii są powiązani z kręgami cyberprzestępców mówiących po wietnamsku”, którzy czerpią zyski ze sprzedaży skradzionych danych, korzystając z API Telegrama.

Szkodnik, PXA Stealer, używa zaawansowanych metod, aby ukryć swoją obecność. Na przykład, ukrywa swoje pliki pod fałszywymi nazwami, takimi jak „images.png” i „Document.pdf” i korzysta z podpisanych programów, aby uniknąć wykrycia. Po zainstalowaniu, wykonuje ekstrakcję danych za pośrednictwem Telegrama, co według badaczy pozwala mu na pozostanie niewykrytym przez większość programów antywirusowych.

Ofiarami są użytkownicy z Korei Południowej, USA, Holandii, Węgier i Austrii. Telegram służy nie tylko do wysyłania danych, ale także do organizowania i zarządzania skradzionymi informacjami. Jeden bot, zwany ‚Logs_Data_bot’, łączy się z wieloma kanałami, takimi jak ‚James – New Logs’ czy ‚Adonis – Reset Logs’, które kategoryzują skradzione dane i wysyłają zautomatyzowane aktualizacje do hakerów.

„Każdy bot jest powiązany z aż 3 kanałami Telegrama,” powiedzieli badacze, a dane są starannie sortowane i pakowane do szybkiej odsprzedaży na usługach takich jak Sherlock.

Śledztwo pokazuje, jak cyberprzestępcy teraz wykorzystują platformy takie jak Telegram i Cloudflare do szybkiego, taniego i masowego prowadzenia operacji, przekształcając kradzież informacji w wysoce efektywny biznes.