Más de 4,000 Víctimas Objetivo de Operación de Robo de Información Basada en Telegram

El malware basado en Python, PXA Stealer, permite a los hackers robar datos de miles de usuarios sin ser detectados y luego venderlos a través de Telegram.

Investigadores de SentinelLabs informan que el malware PXA Stealer, basado en Python, ha lanzado un nuevo y potente ciberataque que ha infectado miles de computadoras en al menos 62 países, robando más de 200,000 contraseñas, información de tarjetas de crédito, así como millones de cookies de navegadores..

La operación, que apareció por primera vez a finales de 2024, se ha vuelto cada vez más sofisticada en 2025. La operación utiliza falsas descargas como Haihaisoft PDF Reader o Microsoft Word 2013, para engañar a los usuarios y hacer que abran archivos maliciosos.

Estos archivos luego instalan malware que roba información sensible como los detalles de la cartera de criptomonedas, contraseñas guardadas, historial de navegación, y posteriormente los envía a canales privados de Telegram a través de bots automatizados.

Los investigadores afirman que “los actores de amenazas detrás de estas campañas están vinculados a círculos de cibercriminales de habla vietnamita” que se lucran vendiendo los datos robados utilizando la API de Telegram.

El malware, PXA Stealer, utiliza métodos sofisticados para ocultar su presencia. Por ejemplo, esconde sus archivos a través de nombres falsos como “images.png” y “Document.pdf” y emplea programas firmados para eludir la detección. Una vez instalado, realiza la extracción de datos a través de Telegram, lo que, según los investigadores, le permite permanecer indetectable para la mayoría de los programas antivirus.

Las víctimas incluyen usuarios de Corea del Sur, los EE.UU., los Países Bajos, Hungría y Austria. Telegram no solo se utiliza para enviar datos, sino también para organizar y gestionar la información robada. Un bot, llamado ‘Logs_Data_bot’, se conecta a múltiples canales como ‘James – New Logs’ o ‘Adonis – Reset Logs’, que categorizan los datos robados y envían actualizaciones automáticas a los hackers.

“Cada bot está vinculado a hasta 3 canales de Telegram”, dijeron los investigadores, y los datos están ordenados y empaquetados de manera ordenada para una rápida reventa en servicios como Sherlock.

La investigación muestra cómo los ciberdelincuentes ahora utilizan plataformas como Telegram y Cloudflare para ejecutar operaciones de manera rápida, económica y a gran escala, convirtiendo el robo de información en un negocio altamente eficiente.