Kempen Serangan Pencuri PXA

Penyelidik keselamatan siber membunyikan penggera mengenai lonjakan baharu dalam kempen yang mendorong PXA Stealer, perisian hasad berasaskan Python yang direka khusus untuk menuai data pengguna yang sensitif. Pencurian maklumat yang canggih ini dikaitkan dengan sekumpulan penjenayah siber berbahasa Vietnam, yang mengeksploitasinya dalam ekosistem bawah tanah berasaskan langganan. Apa yang membezakan kempen ini ialah penyepaduan dengan API Telegram, membolehkan data yang dicuri diwangkan dengan pantas, dijual semula dan digunakan semula dengan campur tangan manusia yang minimum.

Jangkitan Berleluasa dan Kecurian Data yang Membimbangkan

Jangkauan PXA Stealer adalah luas. Lebih daripada 4,000 alamat IP unik di 62 negara telah terjejas. Kawasan mangsa termasuk Amerika Syarikat, Korea Selatan, Belanda, Hungary dan Austria.

Skala data yang dicuri adalah penting:

• Lebih 200,000 kata laluan unik
• Beratus-ratus rekod kad kredit
• Lebih daripada 4 juta kuki penyemak imbas

Pada mulanya dikesan pada November 2024, kempen PXA Stealer dilihat menyasarkan institusi kerajaan dan pendidikan di Eropah dan Asia. Sejak itu, ia telah berkembang untuk mengekstrak pelbagai data termasuk:

• Kata laluan dan data autolengkap daripada penyemak imbas
• Bukti kelayakan dompet Cryptocurrency
• Konfigurasi klien VPN
• Maklumat daripada alatan CLI awan dan Discord
• Perkongsian rangkaian dan platform kewangan yang disambungkan

Telegram: Pusat Saraf Operasi

Data exfiltrated disalurkan melalui saluran Telegram, di mana ia disimpan dan dipantau. PXA Stealer menggunakan BotID (TOKEN_BOT) untuk memautkan bot ke ChatID yang sepadan (CHAT_ID)—saluran ini bertindak sebagai repositori untuk maklumat yang dicuri dan berfungsi sebagai hab komunikasi untuk pemberitahuan aktor ancaman.

Data yang dicuri ini disalurkan ke dalam platform haram seperti Sherlock, sebuah pasaran yang berurusan dengan log pencuri. Di sini, penjenayah siber lain boleh membeli data untuk melakukan rompakan kripto atau menembusi rangkaian korporat, menyalurkan kepada rantaian bekalan penjenayah siber yang berkembang pesat.

Taktik Tradecraft dan Pengelakan Lanjutan

Kempen terkini pada tahun 2025 telah menunjukkan kemajuan teknikal yang ketara. Pengendali kini menggunakan teknik pemuatan sisi DLL dan strategi pementasan berbilang lapisan untuk mengelakkan pengesanan dan menghalang analisis forensik. Pusingan yang menipu dalam rantaian serangan melibatkan paparan dokumen tipu, seperti notis pelanggaran hak cipta palsu, manakala operasi berniat jahat diteruskan secara senyap di latar belakang.

Antara peningkatan paling ketara dalam varian baharu PXA Stealer ialah keupayaannya untuk mengekstrak kuki yang disulitkan daripada pelayar berasaskan Chromium. Ia melakukan ini dengan menyuntik DLL ke dalam proses aktif, dengan berkesan memintas perlindungan penyulitan peringkat aplikasi.

Teknik Utama Di Sebalik Operasi

Kempen ini mempamerkan beberapa taktik yang menentukan:

Pertahanan anti-analisis : Direka untuk menangguhkan pengesanan dan menggagalkan usaha kejuruteraan terbalik.

Penghantaran muatan berperingkat : Rantaian jangkitan kompleks menggunakan DLL yang dimuatkan secara sampingan.

Kandungan umpan : Fail bukan berniat jahat yang digunakan untuk menutup aktiviti berniat jahat.

Infrastruktur C2 berasaskan Telegram : Saluran paip komunikasi yang dikeraskan digunakan untuk arahan, kawalan dan penyusutan data.

Gambaran Lebih Besar: Pasaran Bawah Tanah yang Berkembang

Apa yang bermula sebagai pencuri Python kini telah berkembang menjadi operasi siber berbilang peringkat yang matang. Bukan hanya perisian hasad yang maju, tetapi ekosistem yang mengelilinginya, seperti pasaran berasaskan Telegram, saluran penjualan semula data automatik dan saluran paip pengewangan yang teratur.

Perkembangan ini menyerlahkan bagaimana jenayah siber moden telah menjadi lebih tangkas, berskala dan berkait rapat dengan alat komunikasi yang disulitkan. PXA Stealer berdiri sebagai contoh utama bagaimana aktor ancaman menyesuaikan alat dan perdagangan mereka untuk terus mendahului pengesanan dan memaksimumkan keuntungan dalam ekonomi penjenayah siber hari ini.