Oltre 4.000 vittime prese di mira dall’Operazione di Ruba-Informazioni basata su Telegram

Il malware basato su Python, PXA Stealer, permette agli hacker di rubare dati da migliaia di utenti senza essere rilevati, e successivamente di venderli tramite Telegram.

I ricercatori di SentinelLabs riportano che il malware PXA Stealer, basato su Python, ha lanciato un nuovo potente attacco informatico che ha infettato migliaia di computer in almeno 62 paesi, rubando più di 200.000 password, informazioni di carte di credito, così come milioni di cookie di browser..

L’operazione, che è apparsa per la prima volta alla fine del 2024, è diventata sempre più sofisticata nel 2025. L’operazione utilizza falsi download come Haihaisoft PDF Reader, o Microsoft Word 2013, per ingannare gli utenti nell’aprire file malevoli.

Questi file poi installano malware che rubano informazioni sensibili come, dettagli del portafoglio di criptovalute, password salvate, cronologia del browser, e successivamente li inviano a canali Telegram privati tramite bot automatizzati.

I ricercatori affermano che “gli attori della minaccia dietro queste campagne sono legati a cerchie di cybercriminali di lingua vietnamita” che traggono profitto dalla vendita dei dati rubati utilizzando l’API di Telegram.

Il malware, PXA Stealer, utilizza metodi sofisticati per nascondere la sua presenza. Ad esempio, nasconde i propri file attraverso nomi falsi come “images.png” e “Document.pdf” e impiega programmi firmati per eludere il rilevamento. Una volta installato, esegue l’estrazione dei dati attraverso Telegram che, secondo i ricercatori, gli permette di rimanere indetectable dalla maggior parte dei software antivirus.

Le vittime includono utenti provenienti dalla Corea del Sud, dagli Stati Uniti, dai Paesi Bassi, dall’Ungheria e dall’Austria. Telegram non viene utilizzato solo per inviare dati, ma anche per organizzare e gestire le informazioni rubate. Un bot, chiamato ‘Logs_Data_bot’, si connette a più canali come ‘James – New Logs’ o ‘Adonis – Reset Logs’, che categorizzano i dati rubati e inviano aggiornamenti automatici agli hacker.

“Ogni bot è collegato a fino a 3 canali Telegram”, hanno affermato i ricercatori, e i dati sono ordinati e confezionati in maniera accurata per una rapida rivendita su servizi come Sherlock.

L’indagine mostra come i cybercriminali stiano ora utilizzando piattaforme come Telegram e Cloudflare per condurre operazioni in modo rapido, economico e su larga scala, trasformando il furto di informazioni in un business altamente efficiente.