«Лаборатория Касперского» зафиксировала попытки заражения компьютеров через Telegram. При посещении некоторых каналов у пользователей незаметно запускался вредоносный код, который загружал троян WebRAT. Специалисты предполагают, что злоумышленники использовали уязвимость в новых HTML-виджетах мессенджера.
Первые попытки атак обнаружили в ночь на 13 ноября. По данным компании, на компьютере пользователя скрытно запускался PowerShell-скрипт, который скачивал и выполнял вредоносную программу WebRAT, также известную как Salat Stealer. PowerShell представляет собой встроенный инструмент Windows для выполнения команд и автоматизации задач. В данном случае злоумышленники использовали его для доставки трояна без ведома владельца устройства.
WebRAT написан на языке Rust и позволяет атакующим удалённо управлять заражённым компьютером, похищать данные криптовалютных кошельков и учётных записей Telegram. Возможности программы гораздо шире обычной кражи паролей. В предыдущем исследовании специалисты описали функции записи экрана, перехвата нажатий клавиш и наблюдения через веб-камеру и микрофон. Таким образом, успешное заражение может привести к полной компрометации компьютера.
Главным подозреваемым стали HTML-виджеты, которые Telegram недавно добавил в сообщения. Новая функция позволяет ботам создавать небольшие интерактивные приложения прямо внутри переписки. Для их работы используется JavaScript, исполняемый на устройстве пользователя в изолированной среде QuickJS. Разработчики рассчитывали, что ограничения такой среды не позволят программному коду взаимодействовать с операционной системой, однако исследователи обнаружили способы обойти защиту.
11 ноября исследователи V12 продемонстрировали возможность выполнения постороннего кода через виджет на Android. Позднее они показали аналогичную проблему в Telegram Desktop для Windows, включая версию 7.4.3, в которой уже присутствовали исправления безопасности. Демонстрации подтвердили возможность выхода за пределы предполагаемых ограничений виджетов, но сами по себе не доказывают, что именно обнаруженные ошибки применялись для распространения WebRAT.
При этом «Лаборатория Касперского» осторожно оценивает связь зарегистрированных заражений с уязвимостью Telegram. Компания подтверждает обнаружение вредоносной активности, но называет использование виджетов предположительным механизмом атаки. Технические подробности эксплуатации пока не опубликованы. Неизвестны количество пострадавших пользователей, список затронутых каналов и точные условия, при которых запускался вредоносный скрипт.
На фоне сообщений об уязвимостях вечером 13 ноября HTML-виджеты перестали работать. На отключение обратил внимание Telegram Info, предположив, что разработчики экстренно ограничили новую функцию на стороне сервера. Павел Дуров ранее отверг заявления о возможности взлома одним лишь получением сообщения. По его словам, для продемонстрированной атаки требовалось предварительно запустить сторонний сервис, а обнаруженную проблему уже устранили. Официального объяснения причин отключения виджетов Telegram пока не предоставил.
Сам WebRAT известен специалистам с начала 2025 года. Первоначально злоумышленники распространяли его под видом игровых читов и пиратских программ, а позднее начали размещать заражённые файлы на GitHub, выдавая их за инструменты эксплуатации известных уязвимостей. Теперь специалисты расследуют возможное использование Telegram в качестве нового способа доставки трояна. «Лаборатория Касперского» сообщает, что её защитные продукты обнаруживают и блокируют WebRAT, и рекомендует не запускать виджеты до устранения проблем безопасности. Пользователям также следует установить последние обновления мессенджера.
