Phexia

Biến thể tên khác:Phexia StealerPhexia macOS Stealer

Infostealer Phexia là gì và đánh cắp những dữ liệu nào?

Phexia (còn gọi Phexia Stealer và Phexia macOS Stealer) là họ mã độc đánh cắp thông tin. Phexia nhắm vào thông tin đăng nhập trình duyệt, ví tiền mã hóa, token phiên Telegram, thông tin xác thực đăng nhập macOS (thu thập tại màn hình yêu cầu nhập của bảng điều khiển), dữ liệu tiện ích mở rộng trình duyệt Chromium và các thiết lập tiện ích mở rộng cục bộ, Kho thông tin xác thực macOS Keychain (`/Library/Keychains/login.keychain-db`) và mật khẩu trong Notes.app và các tệp nhỏ trong `~/Downloads`. Tính đến ngày 11/10/2026, các nghiên cứu của đội ngũ CyStack ghi nhận 1 biến thể, với mức tin cậy định danh cao.

Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.
CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp

Mô tả

Nguyên văn tiếng Anh

Phexia is a macOS info-stealer that has been operating in private distribution since April 2024 per a published developer interview. The payload is implemented in osascript (AppleScript) and the developer states it shares roughly 85% of its code with the Mac.c stealer module, but it is marketed and tracked as a separate product with its own self-identification banner and its own customer base (around 20 active operators per the developer at the time of the interview).

The on-disk UserInformation.txt opens with the literal Phexia macOS Stealer banner, then a flat identity block (Build: / Username: / Password: / IP Address:), then the verbatim system_profiler output under Software: / Hardware: / Graphics/Displays: section headers. The Build: tag is a per-customer affiliate identifier set at build time. Captured macOS login credentials ship in the Username: / Password: pair at the top of the file.

Đối chiếu kỹ thuật MITRE ATT&CK

Dữ liệu được cung cấp bởi

Gia tăng hiệu quả rà soát cùng giải pháp theo dõi chuyên nghiệp

Dữ liệu Infostealer chỉ chiếm một phần nhỏ trong các mối đe doạ về đánh cắp dữ liệu hiện đại. Với cấu phần Threats Intelligence trong bộ giải pháp CyStack VulnScan, các tổ chức có thể khám phá được chi tiết từng mối đe doạ và dữ liệu lộ lọt cùng khoanh vùng C2, IOC và các dữ liệu tình báo khác.

Khám phá Threat Intelligence

Các biến thể (1)

Ghi nhận 1 biến thể liên quan đến mã độc này

ID	Số lượng dữ liệu thu thập	Độ tin cậy
`b2acb22...`	1	Cao

Dữ liệu giới hạn trong 5 biến thể

Để xem nhiều biến thể hơn, tổ chức nên sử dụng các giải pháp chuyên sâu như CyStack Threats Intelligence

Khám phá về CyStack Threats Intelligence

Định dạng log mẫu

1Build: <value>2Username: <value>3Password: <value>4IP Address: <value>5 6Software:7 8    System Software Overview:9 10      System Version: <value>11      Kernel Version: <value>12      Boot Volume: <value>13      Boot Mode: <value>14      Computer Name: <value>15      User Name: <value>16      Secure Virtual Memory: <value>17      System Integrity Protection: <value>18      Time since boot: <value>19 20Hardware:21 22    Hardware Overview:23 24      Model Name: <value>25      Model Identifier: <value>26      Model Number: <value>27      Chip: <value>28      Total Number of Cores: <value>29      Memory: <value>30      System Firmware Version: <value>31      OS Loader Version: <value>32      Serial Number (system): <value>33      Hardware UUID: <value>34      Provisioning UDID: <value>35      Activation Lock Status: <value>36 37Graphics/Displays:38 39    Apple M2 Pro:40 41      Chipset Model: <value>42      Type: <value>43      Bus: <value>44      Total Number of Cores: <value>45      Vendor: <value>46      Metal Support: <value>47      Displays:48        Color LCD:49          Display Type: <value>50          Resolution: <value>51          Main Display: <value>52          Mirror: <value>53          Online: <value>54          Automatically Adjust Brightness: <value>55          Connection Type: <value>