{"id":30833,"date":"2026-07-06T15:08:30","date_gmt":"2026-07-06T13:08:30","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=30833"},"modified":"2026-07-06T15:08:30","modified_gmt":"2026-07-06T13:08:30","slug":"telegram-no-password-session-stealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/telegram-no-password-session-stealer\/30833\/","title":{"rendered":"Account Telegram rubati anche senza password o codici di verifica"},"content":{"rendered":"

Esistono decine di metodi per entrare negli account Telegram altrui. Ci siamo spesso occupati di phishing nelle mini app Telegram<\/a>, di truffe con bot, regali e omaggi<\/a> e di molte altre tattiche. Oggi esamineremo l\u2019ennesimo metodo di dirottamento degli account, questa volta basato su uno script di PowerShell.<\/p>\n

Lo script, ingannevolmente chiamato \u201cWindows Telemetry Update\u201d, funge in realt\u00e0 da strumento per dirottare le sessioni di Telegram. Raccoglie i dati da computer totalmente indifesi<\/a>\u00a0e li inoltra a utenti malintenzionati tramite un bot di Telegram.<\/p>\n

Un script nefasto che nasconde uno stealer<\/h2>\n

I criminali informatici si affidano spesso agli script di PowerShell per scaricare malware o raccogliere dati di nascosto. Questa volta i ricercatori hanno scoperto<\/a> uno script su Pastebin mascherato da aggiornamento di Windows. Nella realt\u00e0 \u00e8 un infostealer progettato per dirottare i dati delle sessioni di Telegram per Windows e consentire agli hacker di impossessarsi degli account senza usare password n\u00e9 codici di verifica.<\/p>\n

Ma cos\u2019\u00e8 uno script di PowerShell? Possiamo considerarlo come un file di testo ricco di comandi per un computer Windows. Invece che una persona impegnata a fare attivit\u00e0 manuali, il computer segue queste rapide istruzioni per compiere tutte le operazioni automaticamente in pochi secondi.<\/p>\n<\/blockquote>\n

\"Questo

Questo script di PowerShell ruba i dati della sessione di Telegram per Windows, consentendo agli hacker di dirottare gli account senza password n\u00e9 codici di verifica<\/p><\/div>\n

I ricercatori hanno immediatamente individuato in cima allo script un token bot Telegram e un ID chat, oltre a vari riferimenti alla cartella tdata<\/em>. Questa specifica cartella \u00e8 dove Telegram per Windows conserva le chiavi di autorizzazione usate per far accedere gli utenti ai propri server. Se gli autori degli attacchi estraggono questi dati, possono accedere all\u2019account Telegram della vittima senza password o codice di verifica. Una volta all\u2019interno, manterranno l\u2019accesso fino a quando la vittima controller\u00e0 le sessioni attive nell\u2019app e terminer\u00e0 manualmente quelle sospette.<\/p>\n

Come funziona lo stealer<\/h2>\n

Il malware arriva nel computer della vittima travestito da script di PowerShell per un aggiornamento della telemetria di Windows. Non appena eseguito, raccoglie informazioni di base sul sistema come nome utente, nome host e indirizzo IP pubblico. Quindi controlla se Telegram Desktop \u00e8 installato. In caso, lo script forza la chiusura dell\u2019app in modo da poter sbloccare i file di Telegram per la modifica.<\/p>\n

Da qui, il resto \u00e8 semplice: lo script comprime l\u2019intero contenuto della cartella tdata<\/em> in una directory temporanea, inoltra l\u2019archivio compresso direttamente agli utenti malintenzionati e cancella il file dal computer per nasconderne le tracce.<\/p>\n

La buona notizia \u00e8 che lo stealer probabilmente non ha ancora compromesso alcun account, poich\u00e9 gli esperti non hanno trovato prove di effettivi trasferimenti di dati. Sembra che i ricercatori abbiano intercettato questo dannoso script di PowerShell mentre era ancora in fase di prototipo.<\/p>\n

Un altro indizio \u00e8 il nome sorprendentemente sospetto. I criminali informatici in genere usano nomi neutri per nascondere bot e app. In questo caso invece il bot individuato dai ricercatori era in esecuzione sotto l\u2019handle del masterizzatore afhbhfsdvfh_bot<\/em> con una descrizione decisamente sincera: Telegram attacker<\/em>. I ricercatori hanno notato che, sebbene il bot fosse probabilmente stato sottoposto a test funzionali, non era ancora stato distribuito su larga scala, il che spiega il nome a mo\u2019 di segnaposto.<\/p>\n

Come difendersi dagli script di Powershell<\/h2>\n

La difesa da questo stealer senza nome richiede un approccio alla sicurezza a pi\u00f9 livelli. In primo luogo, \u00e8 utile capire in che modo uno script di PowerShell possa finire nel PC. Di solito questi script passano inosservati a causa di allegati e-mail dannosi, vulnerabilit\u00e0 del software, app infette o trucchi di social engineering. Ecco perch\u00e9 \u00e8 consigliabile installare una solida suite di protezione<\/a><\/strong>\u00a0nel dispositivo e mantenere la massima cautela riguardo a link e download<\/p>\n