PXA Stealer, Telegram Hasatları ile Dağıtılan 200K Şifreler ve Kredi Kartı Verileri

Sentinellabs ve Beazley Security, 2024’ün sonlarından beri gelişmiş anti-anti-anti-anti-anti-anti-anti-anti-anti-analizler, tuzak içeriği ve sertleşmiş komut ve kontrol (C2) altyapısını dahil etmek için hızla gelişen Python tabanlı PXA Stealer’ı konuşlandıran sofistike bir Infostealer kampanyasını ortaya çıkardı.

Vietnamca konuşan siber suçlu ağlarla bağlantılı olan bu operasyon, Telegram’ın otomatik veri açığa çıkması ve para kazanma için API’sinden yararlanır ve yeniden satış için Sherlock gibi yeraltı pazarlarına beslenir.

Pefiltrated günlüklerin analizi, Güney Kore, ABD, Hollanda, Macaristan ve Avusturya’da ağır konsantrasyonlarla en az 62 ülkede 4.000’den fazla benzersiz kurban IP adresi ortaya koymaktadır.

Çalınan Trove, 200.000’den fazla benzersiz şifre, yüzlerce kredi kartı kaydı ve 4 milyondan fazla tarayıcı çerezi içerir ve tehdit aktörlerine mağdurların hesaplarına, finansal verilerine ve kripto para birimi varlıklarına kapsamlı erişim sağlar.

Telegram, Cloudflare çalışanları ve Dropbox gibi meşru platformları silahlandırarak, kampanya operasyonel yükü en aza indirirken, gerçek zamanlı veri hasatını ve hesap devralmaları ve kripto hırsızlığı gibi aşağı yönlü suç faaliyetlerini sağlıyor.

Küresel kurbanları hedefler

Tehdit aktörleri, taktiklerini 2025 yılı boyunca geliştirerek, ilk Windows yürütülebilir yüklerden daha kaçan Python tabanlı varyantlara kaydırdılar.

Nisan 2025’teki erken dalgalar, Windows kayıt defteri anahtarları aracılığıyla kalıcılık oluşturan ve Dropbox’tan ek bileşenler getiren kötü niyetli DLL’ler aracılığıyla imzalanmış Haihaisoft PDF okuyucu yürütülebilir dosyalarla sıkıştırılmış arşivler sunan kimlik avı içeriyordu.

Bu zincirler, malformlanmış PDF’ler olarak gizlenmiş gömülü RAR arşivlerini çözmek için sertifika kullandı, ardından çalma için yeniden adlandırılan Python 3.10 tercümanı (SVCHOST.EXE) dahil olmak üzere Python bağımlılıklarının Winrar ekstraksiyonu.

Temmuz ayına kadar, enfeksiyon zinciri olgunlaştı ve Microsoft Word 2013 ikili dosyalarını, gizli komut istemlerini başlatmak için msvcr100.dll ile yandan yüklenen kurbanları canlandırdı.

Bu aşama, kullanıcıların ve analistlerin dikkatini dağıtmak için sahte telif hakkı bildirimleri içeren Tax-Invoice-Eev.Docx gibi iyi huylu tuzak belgelerini açarken, yeniden adlandırılan Winrar Tools (örneğin, Images.png) aracılığıyla şifrelenmiş zip arşivlerini kodlar ve çıkarır.

Süreç, verileri numaralandırmak ve pessatrate etmek için bot_id bağımsız değişkenleri ile gizlenmiş python komut dosyalarını çalıştırmadan önce genellikle kum havuzu zaman aşımına ve yanlış negatiflere neden olan yürütmeyi geciktirir.

Sofistike yük

PXA Stealer, Chrome, Edge ve Opera Varyantları gibi krom ve Gecko bazlı tarayıcılardan şifreleri, çerezleri, otomatik doldurma girişlerini ve jetonları çözen çok çeşitli hassas verileri hedefler.

Chrome’un uygulamaya bağlı şifreleme anahtarı gibi tarayıcı şifrelemesini atlamak için DLL’leri enjekte eder ve kripto para birimi cüzdanlarından (örn. Çıkış, atomik), VPN istemcileri, bulut yardımcı programlarından ve uyumsuzluk ve telgraf gibi uygulamalardan dosyaları hasat eder.

Binance, Coinbase ve PayPal dahil olmak üzere finansal platformlardan web sitesine özgü kimlik bilgileri, zip arşivlerine paketlenmiş verilerle önceliklendirilir (örn. [CC_IPADDRESS]_Hostname.zip) ve Cloudflare çalışanları aracılığıyla telgraf botlarına aktarıldı.

Anahtar altyapı, bot jeton 7414494371: aahsrqdkprevyz9z0roirs5fjki-ihkjpzq ve chat kimliği -1002698513801, mrb_new_bot gibi tanımlayıcılara bağlı varyantlar ve sık sık.

Rapora göre, atıf, Cisco Talos tarafından bildirilen önceki kampanyalarla bağları ile Paste.RS ve 0x0.ST kullanan operatörlere işaret ediyor.

Mağdur verileri, Ekim 2024’ten bu yana, bazı botlarda İsrail ve Tayvan gibi bölgeleri destekleyerek kampanyanın küresel erişimini ve otomasyona dayalı verimliliğin altını çizerek sürekli faaliyet gösteriyor.

Bu tırmanış, PXA gibi infosterers’ın kesintisiz para kazanma için telgraf ekosistemleriyle entegre oldukları, savunucuları tespitten kaçınmak için meşru araçları ve tuzakları harmanlayan Bizans dağıtım yöntemleriyle meydan okuduğu bir eğilimi vurgulamaktadır.

Bu tehditler Sherlock gibi hizmetler aracılığıyla yeniden satış otomatikleştirdiğinden, kuruluşlar bu tür esnek operasyonlara karşı koymak için davranışsal analiz ve altyapı izlemeye öncelik vermelidir.

Uzlaşma Göstergeleri (IOCS)

Find this News Interesting! Follow us on Google News, LinkedIn, and X to Get Instant Updates!