Kaspersky a détecté des tentatives d’infection d’ordinateurs par le cheval de Troie WebRAT (Salat Stealer) lors de la visite de certaines chaînes Telegram. Les spécialistes ont supposé que les cybercriminels avaient pu exploiter une vulnérabilité des nouveaux widgets HTML de la messagerie.
Selon l’entreprise, l’activité malveillante entraînait le lancement furtif d’un script PowerShell, qui téléchargeait et exécutait un cheval de Troie écrit en Rust.
Les premières tentatives d’attaquer des utilisateurs de cette manière ont été détectées dans la nuit du 13 novembre. Kaspersky n’a pas révélé de détails sur l’infection.
WebRAT est connu des spécialistes depuis au moins l’automne 2025. À l’époque, le cheval de Troie était diffusé par le biais de faux dépôts GitHub déguisés en outils permettant d’exploiter des vulnérabilités récemment découvertes.
Le programme permet aux cybercriminels de contrôler à distance les appareils infectés, de dérober les données de portefeuilles de cryptomonnaies et de comptes Telegram. Il peut également enregistrer l’écran, intercepter les frappes au clavier et accéder à la webcam et au microphone.
Des vulnérabilités dans la nouvelle fonctionnalité de Telegram
Le 9 novembre, Telegram a publié Bot API 10.4, qui permettait aux bots d’envoyer des widgets HTML interactifs. Ceux-ci contenaient des éléments d’interface et des scripts JavaScript, exécutés directement dans le message.
Le code des widgets était traité par le moteur QuickJS. Selon la documentation de Telegram, les widgets fonctionnaient dans un environnement isolé, sans accès direct à Internet.
Le 11 novembre, l’équipe de recherche V12 a démontré qu’il était possible d’exécuter du code à distance sur Android à l’aide d’un widget spécialement conçu.
Dans la vidéo publiée, un utilisateur ouvre une conversation avec un bot et appuie sur « Démarrer ». Après la réception d’un message interactif, l’application « Calculatrice » se lance automatiquement sur le smartphone.
Telegram a déclaré avoir corrigé le problème dans la version Android le 10 novembre, puis avoir déployé la mise à jour auprès de tous les utilisateurs le lendemain.
Selon le journal des modifications de QuickJS, les développeurs ont corrigé un problème lié au traitement de la construction await using, qui avait été signalé dans Telegram pour Android 13.2.1. La vulnérabilité touchait le moteur sur toutes les plateformes où il était utilisé.
Dans la nuit du 13 novembre, V12 a montré une attaque similaire contre Telegram Desktop 7.4.3 pour Windows. Cette version était sortie le 12 novembre, après plusieurs correctifs apportés à QuickJS.
V12 n’a toutefois pas publié les détails techniques des démonstrations et s’est contentée de fournir une empreinte SHA-256. On ignore quelles erreurs les chercheurs ont exploitées et si elles sont liées aux attaques présumées de WebRAT.
Durov rejette les informations selon lesquelles un seul message suffirait pour pirater un compte
Le 13 novembre, le fondateur de Telegram, Pavel Durov, a déclaré que les informations faisant état d’une exécution de code à distance par l’intermédiaire des widgets étaient fausses.
Selon lui, un utilisateur ne pouvait pas être attaqué simplement en recevant un message. Le scénario présenté par les chercheurs nécessitait de lancer soi-même un service tiers, a-t-il précisé.
Durov a également écrit que cette fonctionnalité avait été entièrement bloquée côté serveur. Le fondateur de la messagerie a proposé à ceux qui n’étaient pas d’accord d’essayer de pirater son compte.
Le même jour, Telegram a désactivé la prise en charge des widgets HTML côté serveur, a indiqué la chaîne spécialisée Gramnews. Les bots ne peuvent plus envoyer de nouveaux widgets, mais ceux reçus auparavant continuent de fonctionner dans les conversations. L’entreprise n’a pas publié de communiqué distinct au sujet de la désactivation de cette fonctionnalité.
La même documentation de Telegram indique que, dans la version de production, les widgets n’étaient disponibles que dans les conversations privées avec des bots et ne pouvaient pas être publiés dans les chaînes. On ignore encore comment l’exploitation présumée de la vulnérabilité pouvait avoir lieu lors de la visite de chaînes.
Kaspersky a recommandé aux utilisateurs de ne pas lancer de widgets HTML avant la publication d’un correctif.
Rappelons qu’en avril, Kaspersky a découvert en Russie une campagne de diffusion du cheval de Troie CrystalX par le biais de publicités sur Telegram et YouTube. Le programme malveillant dérobait les données des comptes et remplaçait les adresses des portefeuilles de cryptomonnaies.