{"id":25155,"date":"2026-07-03T09:00:55","date_gmt":"2026-07-03T12:00:55","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25155"},"modified":"2026-06-30T12:16:33","modified_gmt":"2026-06-30T15:16:33","slug":"telegram-no-password-session-stealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/telegram-no-password-session-stealer\/25155\/","title":{"rendered":"Sua conta do Telegram pode ser roubada sem uma senha ou um c\u00f3digo de verifica\u00e7\u00e3o"},"content":{"rendered":"

Existem dezenas de maneiras de invadir uma conta do Telegram. Revelamos com frequ\u00eancia casos de phishing nos Miniaplicativos do Telegram<\/a>, golpes usando bots, presentes e brindes<\/a>, al\u00e9m de muitas outras t\u00e1ticas. Hoje, estamos analisando outro m\u00e9todo de sequestro de conta: um m\u00e9todo baseado em um script do PowerShell.<\/p>\n

O script enganoso, chamado de \u201cAtualiza\u00e7\u00e3o de telemetria do Windows\u201d, na verdade serve como uma ferramenta para sequestrar sess\u00f5es do Telegram. Ele coleta dados de computadores completamente indefesos<\/a>\u00a0e os envia aos invasores por meio de um bot do Telegram.<\/p>\n

Um script malicioso contendo um malware de roubo de dados<\/h2>\n

Os cibercriminosos costumam usar scripts do PowerShell para baixar malware e coletar dados de forma oculta. Desta vez, os pesquisadores descobriram<\/a> um script no Pastebin disfar\u00e7ado de atualiza\u00e7\u00e3o comum do Windows. Na realidade, trata-se de um infostealer projetado para sequestrar dados de sess\u00e3o do Telegram para Windows e permitir que hackers assumam o controle de contas sem senha nem c\u00f3digo de verifica\u00e7\u00e3o.<\/p>\n

Mas, afinal, o que \u00e9 um script do PowerShell? Pense nisso como um arquivo de texto repleto de comandos para um computador Windows. Em vez de uma pessoa gastar tempo clicando e executando tarefas manualmente, o computador segue essas instru\u00e7\u00f5es para fazer tudo automaticamente em quest\u00e3o de segundos.<\/p><\/blockquote>\n

\"\"

Esse script do PowerShell rouba dados de sess\u00e3o do Telegram para Windows, permitindo que hackers invadam contas sem usar uma senha nem c\u00f3digos de verifica\u00e7\u00e3o<\/p><\/div>\n

Os pesquisadores logo identificaram um token de bot do Telegram e um ID de chat na parte superior do script, al\u00e9m de v\u00e1rias refer\u00eancias \u00e0 pasta tdata<\/em>. Essa pasta \u00e9 onde o Telegram para Windows mant\u00e9m as chaves de autoriza\u00e7\u00e3o usadas para fazer login dos usu\u00e1rios nos seus servidores. Se esses dados forem capturados por invasores, ser\u00e1 poss\u00edvel acessar a conta do Telegram da v\u00edtima sem precisar de uma senha nem de um c\u00f3digo de verifica\u00e7\u00e3o. Os invasores, ent\u00e3o, mant\u00eam o acesso at\u00e9 que a v\u00edtima verifique suas sess\u00f5es ativas no aplicativo e encerre manualmente as sess\u00f5es suspeitas.<\/p>\n

Como o malware de roubo de dados funciona<\/h2>\n

O malware chega ao computador da v\u00edtima disfar\u00e7ado de script do PowerShell de atualiza\u00e7\u00e3o da telemetria do Windows. Assim que \u00e9 executado, esse script re\u00fane informa\u00e7\u00f5es b\u00e1sicas do sistema: nome de usu\u00e1rio, nome do host e endere\u00e7o IP p\u00fablico. Em seguida, ele verifica se o Telegram Desktop est\u00e1 instalado. Se estiver, o script for\u00e7a o encerramento do aplicativo para desbloquear os arquivos do Telegram para edi\u00e7\u00e3o.<\/p>\n

A partir da\u00ed, o resto \u00e9 simples: o script compacta todo o conte\u00fado da pasta tdata<\/em> em um diret\u00f3rio tempor\u00e1rio, encaminha o arquivo compactado para os invasores e, ent\u00e3o, exclui o arquivo do computador para ocultar seus rastros.<\/p>\n

A boa not\u00edcia \u00e9 que \u00e9 prov\u00e1vel que o malware de roubo de dados ainda n\u00e3o tenha comprometido nenhuma conta, pois n\u00e3o foram encontradas provas de transfer\u00eancias reais de dados. Parece que os pesquisadores detectaram esse script malicioso do PowerShell enquanto ele ainda estava na fase de teste do prot\u00f3tipo.<\/p>\n

Outro sinal de alerta \u00e9 seu nome bem suspeito. Os cibercriminosos normalmente usam nomes neutros para ocultar seus bots e aplicativos. Mas, nesse caso, quando os pesquisadores o identificaram, o bot estava sendo executado sob o nome aleat\u00f3rio afhbhfsdvfh_bot<\/em> com uma descri\u00e7\u00e3o bastante honesta: Atacante do Telegram<\/em>. Os pesquisadores observaram que, embora o bot provavelmente tenha sido submetido a testes funcionais, ele ainda n\u00e3o havia sido implementado em escala, o que explica o nome aleat\u00f3rio.<\/p>\n

Como se defender contra scripts do PowerShell<\/h2>\n

A defesa contra esse malware de roubo de dados sem nome requer uma abordagem de seguran\u00e7a em camadas. Em primeiro lugar, \u00e9 preciso entender como um script do PowerShell vai parar no seu PC. Isso geralmente ocorre por meio de anexos de e-mail maliciosos, vulnerabilidades de software, aplicativos infectados ou truques de engenharia social. \u00c9 por isso que recomendamos a instala\u00e7\u00e3o de um pacote de seguran\u00e7a robusto<\/a> no seu dispositivo e extrema cautela ao clicar em links e baixar arquivos.<\/p>\n