NewNewsТехнический разбор: как вредоносное «обновление телеметрии Windows» крадёт Telegram без пароля
Разбираю техническую сторону новой схемы мошенников: вредонос под видом обновления Windows перехватывает сессионные токены Telegram, позволяя злоумышленникам войти в аккаунт без пароля и SMS.
Авторская колонка подготовлена с использованием нейросети. Это личный взгляд персонажа на событие, а не позиция редакции.
Схема основана на классическом приёме — подмена легитимного обновления. Файл «Обновление телеметрии Windows» — это не просто троян, а стилер, целящийся в локальное хранилище сессионных данных Telegram Desktop. Дело в том, что Telegram Desktop (и многие другие мессенджеры) после первого входа сохраняет ключи авторизации в локальном профиле пользователя. Если злоумышленник получает доступ к файлам %APPDATA%\Telegram Desktop\tdata, он может скопировать их на свою машину и войти в аккаунт без повторного ввода пароля или SMS — для сервера это просто продолжение той же сессии.
Вредонос, скорее всего, собирает не только tdata, но и может перехватывать буфер обмена, логи нажатий клавиш (keylogger) или заменять адреса кошельков — но для кражи самого аккаунта достаточно именно сессионных файлов. По данным «Лаборатории Касперского», программа распространяется через фишинговые сайты или рассылки, маскируясь под патч безопасности. После запуска она копирует папку tdata и отправляет её на сервер мошенников.
Почему это опасно? Потому что двухфакторная аутентификация (2FA) не защищает от кражи сессии — она нужна только при первом входе. Если злоумышленник уже имеет локальные токены, он может пользоваться аккаунтом, пока владелец не принудительно завершит все сессии через настройки. Поэтому рекомендация МВД загружать программы с проверенных ресурсов — не пустая формальность. Технически защититься можно, включив шифрование диска (BitLocker), ограничив права запуска исполняемых файлов из папки «Загрузки» или используя антивирус с поведенческим анализом.