Более 4,000 жертв стали мишенью для операции по краже информации, основанной на Telegram

Мошенническое ПО на базе Python, PXA Stealer, позволяет хакерам красть данные у тысяч пользователей, оставаясь незамеченными, и затем продавать их через Telegram.

Исследователи из SentinelLabs сообщают, что вредоносное ПО, основанное на Python и известное как PXA Stealer, запустило новую мощную кибератаку, которая заразила тысячи компьютеров как минимум в 62 странах, украв более 200 000 паролей, информацию кредитных карт, а также миллионы браузерных кукисов..

Операция, которая впервые появилась в конце 2024 года, стала все более продвинутой в 2025 году. В рамках операции используются поддельные загрузки, такие как Haihaisoft PDF Reader или Microsoft Word 2013, чтобы обмануть пользователей и заставить их открывать вредоносные файлы.

Затем эти файлы устанавливают вредоносное ПО, которое крадет конфиденциальную информацию, такую как данные кошелька криптовалюты, сохраненные пароли, историю браузера, а затем отправляет их в частные каналы Telegram с помощью автоматизированных ботов.

Исследователи утверждают, что «злоумышленники, стоящие за этими кампаниями, связаны с кругами киберпреступников, говорящих на вьетнамском языке», которые получают прибыль от продажи украденных данных с использованием API Telegram.

Вредоносное ПО, PXA Stealer, использует сложные методы для скрытия своего присутствия. Например, оно скрывает свои файлы под фальшивыми именами, такими как «images.png» и «Document.pdf», и использует подписанные программы для уклонения от обнаружения. После установки оно проводит извлечение данных через Telegram, что, по мнению исследователей, позволяет ему оставаться незамеченным для большинства антивирусных программ.

Жертвами стали пользователи из Южной Кореи, США, Нидерландов, Венгрии и Австрии. Telegram используется не только для отправки данных, но и для организации и управления украденной информацией. Один из ботов, названный ‘Logs_Data_bot’, подключается к нескольким каналам, таким как ‘James – New Logs’ или ‘Adonis – Reset Logs’, которые категоризируют украденные данные и отправляют автоматические обновления хакерам.

«Каждый бот связан с тремя и более каналами в Telegram», — сказали исследователи, и данные аккуратно сортируются и упаковываются для быстрой перепродажи на таких сервисах, как Sherlock.

Исследование показывает, как киберпреступники теперь используют платформы вроде Telegram и Cloudflare для быстрого, недорогого и масштабного ведения операций, превращая кражу информации в высокоэффективный бизнес.