Краткое содержание
«Лаборатория Касперского» зафиксировала попытки заражения компьютеров трояном WebRAT (Salat Stealer) при посещении отдельных Telegram‑каналов. По мнению экспертов, злоумышленники использовали уязвимость новых HTML‑виджетов мессенджера, позволяющих выполнять скрипты внутри сообщения.
Как происходила атака
- При открытии канала запускался скрытый PowerShell‑скрипт;
- Скрипт скачивал и исполнял троян, написанный на Rust;
- Первые случаи зафиксированы в ночь на 13 ноября.
Что умеет WebRAT
- удалённое управление устройством;
- кража данных криптокошельков и учётных записей Telegram;
- запись экрана, перехват клавиш, доступ к веб‑камере и микрофону.
Троян известен с осени 2025 г., тогда он распространялся через поддельные репозитории GitHub.
Уязвимость в Telegram
9 ноября Telegram выпустил Bot API 10.4, добавивший интерактивные HTML‑виджеты, работающие на движке QuickJS. По документации, виджеты изолированы и не имеют прямого доступа к сети. Однако уже 11 ноября исследователи V12 продемонстрировали RCE на Android‑устройстве, а 13 ноября – аналогичную атаку на Telegram Desktop 7.4.3 для Windows.
Telegram отреагировал:
- 10 ноября – исправление в версии для Android;
- 11 ноября – обновление, получившее все пользователи;
- 13 ноября – отключение поддержки HTML‑виджетов на сервере (боты больше не могут отправлять новые виджеты, старые продолжают работать).
Основатель Telegram Павел Дуров заявил, что возможность удалённого выполнения кода «не существует», подчёркивая, что для атаки необходимо запускать сторонний сервис, а не просто получать сообщение.
Рекомендации
«Лаборатория Касперского» советует не открывать HTML‑виджеты до выхода окончательного патча и следить за обновлениями клиента.
Примечание
В апреле 2024 г. Kaspersky обнаружила кампанию распространения трояна CrystalX через рекламу в Telegram и YouTube, также нацелившегося на криптовалютные кошельки.
