PXA varastajate rünnakukampaaniad

Küberturvalisuse uurijad löövad häirekella uue kampaaniate laine pärast, mis levitavad PXA Stealerit, Pythoni-põhist pahavara, mis on spetsiaalselt loodud tundlike kasutajaandmete kogumiseks. Seda keerukat infovarast omistatakse vietnami keelt kõnelevatele küberkurjategijatele, kes kasutavad seda ära tellimustel põhinevas maa-aluses ökosüsteemis. Selle kampaania eripäraks on integratsioon Telegram API-dega, mis võimaldab varastatud andmeid kiiresti rahaks teha, edasi müüa ja taaskasutada minimaalse inimsekkumisega.

Laialt levinud nakkused ja murettekitav andmevargus

PXA Stealeri ulatus on ulatuslik. Ohvrisse on sattunud üle 4000 unikaalse IP-aadressi 62 riigis. Ohvriteks on Ameerika Ühendriigid, Lõuna-Korea, Holland, Ungari ja Austria.

Varastatud andmete ulatus on märkimisväärne:

• Üle 200 000 unikaalse parooli
• Sajad krediitkaardi andmed
• Rohkem kui 4 miljonit brauseriküpsist

Esmakordselt märgati PXA Stealeri kampaaniaid 2024. aasta novembris, mille sihtmärgiks olid Euroopa ja Aasia valitsusasutused ja haridusasutused. Sellest ajast alates on see arenenud ja suudab hankida laia valikut andmeid, sealhulgas:

• Paroolid ja brauserite automaatse täitmise andmed
• Krüptovaluuta rahakoti volitused
• VPN-kliendi konfiguratsioonid
• Teave pilvepõhiste CLI-tööriistade ja Discordi kaudu
• Ühendatud võrgu jagamised ja finantsplatvormid

Telegram: Operatsiooni närvikeskus

Väljafiltreeritud andmed suunatakse Telegrami kanalite kaudu, kus neid salvestatakse ja jälgitakse. PXA Stealer kasutab boti ID-sid (TOKEN_BOT), et siduda botid vastavate Chat ID-dega (CHAT_ID) – need kanalid toimivad varastatud teabe hoidlatena ja ohutegijate teavituste suhtluskeskusena.

See varastatud teave suunatakse ebaseaduslikele platvormidele, näiteks Sherlockile, mis on varastajate logidega tegelev turg. Siin saavad teised küberkurjategijad andmeid osta krüptoröövide läbiviimiseks või ettevõtete võrkudesse tungimiseks, mis omakorda annab jõudu kiiresti kasvavale küberkurjategijate tarneahelale.

Täiustatud kaubandus- ja kõrvalepõiketaktikad

Hiljutised 2025. aasta kampaaniad on näidanud märkimisväärset tehnilist arengut. Operaatorid kasutavad nüüd DLL-i külglaadimise tehnikaid ja mitmekihilisi lavastusstrateegiaid, et vältida avastamist ja takistada kohtuekspertiisi analüüsi. Rünnakuahela petlik keerdkäik hõlmab peibutusdokumendi, näiteks võltsitud autoriõiguste rikkumise teate kuvamist, samal ajal kui pahatahtlikud toimingud toimuvad vaikselt taustal.

PXA Stealeri uuemate versioonide üks olulisemaid täiustusi on võime Chromiumi-põhistest brauseritest krüptitud küpsiseid eraldada. See toimub DLL-i süstimise teel aktiivsetesse protsessidesse, möödudes tõhusalt rakendustaseme krüptimiskaitsest.

Operatsiooni taga olevad peamised tehnikad

Kampaanial on mitu iseloomulikku taktikat:

Analüüsivastased kaitsemeetmed : loodud tuvastamise edasilükkamiseks ja pöördprojekteerimise nurjamiseks.

Etapiviisiline kasuliku koormuse kohaletoimetamine : keerulised nakkusahelad, mis kasutavad külglaaditud DLL-e.

Peibutussisu : pahatahtliku tegevuse varjamiseks kasutatavad mittepahatahtlikud failid.

Telegrammil põhinev C2 infrastruktuur : tugevdatud sidekanal, mida kasutatakse juhtimise, kontrolli ja andmete väljavoolu jaoks.

Suurem pilt: kasvav maa-alune turg

See, mis algas Pythoni varastajana, on nüüdseks kasvanud küpseks ja mitmeastmeliseks küberoperatsiooniks. Täiustatud pole mitte ainult pahavara, vaid ka seda ümbritsev ökosüsteem, näiteks Telegrami-põhised turuplatsid, automatiseeritud andmete edasimüügikanalid ja organiseeritud monetiseerimiskanalid.

Need arengud toovad esile, kuidas tänapäevane küberkuritegevus on muutunud paindlikumaks, skaleeritavamaks ja krüpteeritud sidevahenditega sügavalt läbi põimunud. PXA Stealer on suurepärane näide sellest, kuidas ohutegijad kohandavad oma tööriistu ja kaubandust, et olla avastamisest ees ja maksimeerida kasumit tänapäeva küberkuritegevuse majanduses.