Telegram Tabanlı Bilgi Hırsızlığı Operasyonu 4,000+ Kurbanı Hedef Aldı

Python tabanlı zararlı yazılım PXA Stealer, hackerların binlerce kullanıcının verilerini tespit edilmeden çalmalarını ve daha sonra bunları Telegram üzerinden satmalarını sağlar.

SentinelLabs’taki araştırmacılar, Python tabanlı PXA Stealer zararlı yazılımının yeni bir güçlü siber saldırı başlattığını ve en az 62 ülkede binlerce bilgisayarı enfekte ettiğini bildiriyor. Bu saldırı, 200.000’den fazla şifre, kredi kartı bilgileri ve milyonlarca tarayıcı çerezini çaldı..

İlk olarak 2024 sonlarında ortaya çıkan operasyon, 2025’te giderek daha sofistike hale geldi. Operasyon, kullanıcıları kötü amaçlı dosyaları açmaya kandırmak için Haihaisoft PDF Reader veya Microsoft Word 2013 gibi sahte indirmeleri kullanır.

Bu dosyalar daha sonra, kripto para cüzdanı bilgileri, kaydedilmiş şifreler, tarayıcı geçmişi gibi hassas bilgileri çalan zararlı yazılımları yükler ve bunları otomatik botlar aracılığıyla özel Telegram kanallarına gönderir.

Araştırmacılar, “Bu kampanyaların arkasındaki tehdit unsurlarının, çalınan verileri Telegram’ın API’sini kullanarak satan Vietnamca konuşan siber suç çevreleriyle bağlantılı olduğunu” söylüyor.

PXA Stealer adlı zararlı yazılım, varlığını gizlemek için karmaşık yöntemler kullanır. Örneğin, “images.png” ve “Document.pdf” gibi sahte isimlerle dosyalarını gizler ve algılanmayı önlemek için imzalı programlar kullanır. Bir kez yüklendiğinde, Telegram üzerinden veri çıkarma işlemi gerçekleştirir ki araştırmacılar, bunun onun çoğu antivirüs yazılımı tarafından algılanmamasını sağladığını belirtiyor.

Kurbanlar arasında Güney Kore, ABD, Hollanda, Macaristan ve Avusturya’dan kullanıcılar bulunmaktadır. Telegram sadece veri göndermek için değil, aynı zamanda çalınan bilgileri düzenlemek ve yönetmek için de kullanılıyor. ‘Logs_Data_bot’ adlı bir bot, ‘James – Yeni Kayıtlar’ veya ‘Adonis – Sıfırlanmış Kayıtlar’ gibi birden çok kanala bağlanıyor. Bu kanallar, çalınan verileri kategorize eder ve hırsızlara otomatik güncellemeler gönderir.

“Her bot, 3 Telegram kanalına kadar bağlıdır,” diye belirttiler araştırmacılar ve veriler, Sherlock gibi hizmetlerde hızlı yeniden satış için düzgün bir şekilde sıralanmış ve paketlenmiştir.

Araştırma, siber suçluların artık Telegram ve Cloudflare gibi platformları kullanarak operasyonları hızlı, ucuz ve geniş çapta yürütmelerini ve bilgi hırsızlığını son derece verimli bir işe dönüştürmelerini gösteriyor.