Mais de 4.000 Vítimas Alvejadas por Operação de Roubo de Informações Baseada no Telegram

O malware baseado em Python, PXA Stealer, permite que hackers roubem dados de milhares de usuários sem serem detectados e, posteriormente, vendam através do Telegram.

Pesquisadores da SentinelLabs relatam que o malware PXA Stealer, baseado em Python, lançou um novo e poderoso ataque cibernético que infectou milhares de computadores em pelo menos 62 países, roubando mais de 200.000 senhas, informações de cartões de crédito, além de milhões de cookies de navegadores.

A operação, que apareceu pela primeira vez no final de 2024, tornou-se cada vez mais sofisticada em 2025. A operação usa downloads falsos, como o Haihaisoft PDF Reader, ou o Microsoft Word 2013, para enganar os usuários a abrir arquivos maliciosos.

Esses arquivos então instalam malware que rouba informações sensíveis, como detalhes de carteiras de criptomoedas, senhas salvas, histórico de navegação, e posteriormente os enviam para canais privados do Telegram via bots automatizados.

Pesquisadores afirmam que “os atores de ameaças por trás dessas campanhas estão vinculados a círculos cibernéticos vietnamitas” que lucram vendendo os dados roubados usando a API do Telegram.

O malware, PXA Stealer, usa métodos sofisticados para ocultar sua presença. Por exemplo, ele esconde seus arquivos através de nomes falsos como “images.png” e “Document.pdf” e utiliza programas assinados para evitar detecção. Uma vez instalado, ele realiza a extração de dados através do Telegram, o que, segundo os pesquisadores, permite que ele permaneça indetectável pela maioria dos softwares antivírus.

As vítimas incluem usuários da Coreia do Sul, dos EUA, da Holanda, da Hungria e da Áustria. O Telegram não é usado apenas para enviar dados, mas também para organizar e gerenciar as informações roubadas. Um bot, chamado ‘Logs_Data_bot’, se conecta a vários canais como ‘James – New Logs’ ou ‘Adonis – Reset Logs’, que categorizam os dados roubados e enviam atualizações automáticas para hackers.

“Cada bot está ligado a até 3 canais do Telegram”, disseram os pesquisadores, e os dados são cuidadosamente ordenados e embalados para rápida revenda em serviços como o Sherlock.

A investigação mostra como os cibercriminosos agora estão usando plataformas como Telegram e Cloudflare para conduzir operações de forma rápida, barata e em grande escala, transformando o roubo de informações em um negócio altamente eficiente.