В МВД России предупредили пользователей о новой нашумевшей схеме, позволяющей злоумышленникам похищать аккаунты в популярном мессенджере Telegram. Жертве достаточно запустить один файл на своем компьютере, чтобы лишиться контроля над своим профилем, при этом злоумышленникам не потребуются ни пароль, ни SMS-код подтверждения.
В управлении по организации борьбы с противоправным использованием информационно-коммуникационных технологий (УБК) МВД РФ со ссылкой на экспертов «Лаборатории Касперского» сообщили, что источником угрозы является вредоносное программное обеспечение, маскирующееся под системный файл Windows. Аферисты распространяют файл под названием «Обновление телеметрии Windows». Пользователь, видя знакомую формулировку, может запустить его без опасений, в то время как внутри скрыт вовсе не системный скрипт, а опасный PowerShell-инструмент для кражи данных .
Специалисты в области кибербезопасности пояснили механизм работы этой программы. После запуска на компьютере жертвы скрипт принудительно завершает работу приложения Telegram для Windows. Далее он находит и копирует содержимое специальной папки tdata, в которой мессенджер хранит ключи авторизации и данные о текущей сессии. Собранную информацию злоумышленник получает через Telegram-бота: файлы упаковываются в архив и пересылаются преступнику.
Используя полученные данные, хакер может войти в чужой аккаунт на своем устройстве без необходимости вводить облачный пароль или код из SMS, по сути просто «клонируя» активную сессию жертвы. Такой доступ сохраняется до тех пор, пока владелец аккаунта не обнаружит неизвестное подключение в списке активных сеансов и вручную не завершит его. Вредоносный скрипт был обнаружен исследователями на открытых площадках, а его код указывает на то, что инструмент дорабатывался и тестировался, что делает его особенно опасным в перспективе при широком распространении.
Стоит отметить, что это не единственная уловка, используемая для получения доступа к чужим профилям. В начале этого года МВД уже предупреждало россиян о масштабной фишинговой кампании, связанной с так называемым «переездом чатов» . Тогда в крупных рабочих и локальных группах публиковались сообщения о необходимости перенести общение на новую платформу якобы из-за замедления работы Telegram. Переходя по ссылке, пользователи попадали в мошеннический бот, который под предлогом подтверждения участия запрашивал номер телефона и код из SMS, что также позволяло передать управление аккаунтом злоумышленникам для проведения дальнейших атак внутри того же коллектива.
В свете участившихся угроз специалисты УБК МВД настоятельно рекомендуют придерживаться базовых правил цифровой гигиены. Прежде всего, загружать программы и обновления исключительно с официальных и проверенных ресурсов, не переходить по сомнительным ссылкам и не открывать подозрительные вложения в письмах и сообщениях. Крайне важно регулярно обновлять операционную систему и антивирусное программное обеспечение.
Для дополнительной защиты аккаунта в Telegram необходимо периодически проверять список активных сеансов в настройках конфиденциальности и незамедлительно завершать все незнакомые подключения. Также в целях безопасности рекомендуется включить двухфакторную аутентификацию, задав облачный пароль для входа в профиль, что значительно усложнит жизнь злоумышленникам, даже если им удастся перехватить SMS-код или данные сессии . Владельцам устройств на Windows советуют быть особенно внимательными к любым сообщениям, содержащим ссылки на скачивание исполняемых файлов, и всегда проверять название запускаемых скриптов — настоящее системное обновление не требует ручного запуска из непонятных источников.
