Inhaltsverzeichnis
Getarnt als Windows-Update: Malware greift Telegram-Zugangsdaten ab
Phishing bleibt eine häufige Methode, um Zugangsdaten zu stehlen. Doch Angreifer müssen Sie nicht immer auf eine gefälschte Anmeldeseite locken. Bei einer neu untersuchten Methode kommt ein schädliches PowerShell-Skript zum Einsatz, das lokale Sitzungsdaten von Telegram Desktop kopieren kann. Das Prinzip PowerShell statt Phishing zeigt, warum nicht nur Passwörter, sondern auch bereits angemeldete Geräte geschützt werden müssen. Dieser Beitrag erklärt den Angriff verständlich und zeigt, wie Sie reagieren und vorbeugen können.
Was bedeutet PowerShell statt Phishing?
PowerShell ist zunächst kein Schadprogramm, sondern ein legitimes Werkzeug. Microsoft beschreibt es als Befehlsumgebung und Skriptsprache, mit der sich Aufgaben auf Computern automatisieren lassen. Administratoren können damit zum Beispiel Systeme konfigurieren, Dateien verwalten oder wiederkehrende Abläufe beschleunigen. Genau diese Leistungsfähigkeit macht PowerShell jedoch auch für Kriminelle interessant.
Ein Skript besteht im Kern aus einer Reihe von Anweisungen, die der Computer automatisch ausführt. Wird ein schädliches Skript gestartet, kann es deshalb innerhalb kurzer Zeit Informationen sammeln, Programme schließen, Dateien kopieren und Daten an einen entfernten Empfänger senden.
Beim Prinzip PowerShell statt Phishing steht somit nicht die Täuschung auf einer nachgebauten Login-Seite im Mittelpunkt. Stattdessen soll das Opfer eine Datei oder einen Befehl ausführen, der direkt auf dem eigenen Gerät arbeitet. Die untersuchte Datei tarnte sich als vermeintliches Windows-Telemetrie-Update. Der harmlose Name sollte Misstrauen vermeiden, obwohl der eigentliche Zweck im Diebstahl von Telegram-Sitzungsdaten lag.
Warum Telegram-Sitzungsdaten so wertvoll sind
Wenn Sie sich bei Telegram Desktop anmelden, legt die Anwendung auf dem Computer Daten ab, die Ihre aktive Sitzung bestätigen. Diese Informationen sorgen dafür, dass Sie nicht bei jedem Start erneut Ihre Telefonnummer, einen Bestätigungscode oder ein zusätzliches Passwort eingeben müssen. Für die Nutzung ist das bequem. Gelangen solche Sitzungsdaten jedoch in falsche Hände, können sie wie ein bereits ausgestellter digitaler Zugangsausweis wirken.
Die Angriffsmethode zielt auf den sogenannten tdata-Ordner von Telegram Desktop. Dort befinden sich unter anderem Autorisierungsinformationen, die der Desktop-Anwendung den Zugriff auf das Konto ermöglichen. Kopieren Angreifer geeignete Sitzungsdaten, können sie unter Umständen eine bestehende Anmeldung nachbilden. Sie greifen dann nicht das Passwort selbst an, sondern nutzen den bereits bestätigten Zustand. Das erklärt, warum diese Methode besonders ernst zu nehmen ist. Selbst ein langes Passwort schützt eine Sitzung nicht automatisch, wenn der Computer kompromittiert wurde und die lokale Sitzungsablage unbemerkt kopiert werden kann.
So läuft der Angriff auf dem Windows-PC ab
Nach den von Kaspersky veröffentlichten Analysen sucht das untersuchte PowerShell-Skript zunächst nach grundlegenden Angaben zum betroffenen Rechner. Dazu gehören etwa der Benutzername, der Computername und die öffentliche IP-Adresse. Anschließend prüft es, ob Telegram Desktop oder eine Beta-Version installiert ist. Findet das Skript die Anwendung, beendet es den laufenden Telegram-Prozess. Dadurch lassen sich Dateien leichter kopieren, weil sie nicht mehr von der geöffneten Anwendung verwendet werden. Danach fasst das Skript den Inhalt des tdata-Ordners in einem komprimierten Archiv zusammen. Dieses Archiv soll über die Telegram Bot API an einen vom Angreifer kontrollierten Chat übertragen werden. Zum Schluss entfernt das Skript die vorübergehend erstellte Datei, um auffällige Spuren zu verringern.
Die Sicherheitsforscher fanden Hinweise darauf, dass sich das Werkzeug zum Zeitpunkt der Untersuchung noch in einer Test- und Entwicklungsphase befand. Das mindert die grundsätzliche Gefahr jedoch nicht. Die einzelnen Schritte zeigen, dass sich mit vergleichsweise einfachem Code eine funktionierende Kette für den Diebstahl aktiver Sitzungen aufbauen lässt.
Warum Passwort und Zwei-Schritt-Verifizierung nicht alles lösen
Ein starkes, einzigartiges Passwort bleibt wichtig. Auch die Zwei-Schritt-Verifizierung von Telegram erhöht den Schutz bei neuen Anmeldungen, weil zusätzlich zum Anmeldecode ein selbst festgelegtes Passwort verlangt wird. Telegram empfiehlt außerdem eine geschützte Wiederherstellungs-E-Mail. Diese Maßnahmen erschweren viele klassische Kontoübernahmen deutlich.
Bei gestohlenen Sitzungsdaten liegt das Problem jedoch an einer anderen Stelle: Der Angreifer versucht nicht zwingend, eine vollständig neue Anmeldung durchzuführen. Er missbraucht stattdessen Informationen einer Sitzung, die bereits bestätigt wurde. Deshalb kann selbst eine aktivierte Zwei-Schritt-Verifizierung einen laufenden Sitzungsdiebstahl nicht zuverlässig rückgängig machen. Sie sollten die Funktion dennoch aktivieren, weil sie weitere Angriffswege blockiert. Ebenso sinnvoll sind Passkeys, sofern sie für Ihr Konto und Ihre Geräte verfügbar sind.
Entscheidend bleibt aber die Kombination mehrerer Schutzebenen: sichere Anmeldeverfahren, ein geschützter Computer, vorsichtiger Umgang mit Dateien und eine regelmäßige Kontrolle der aktiven Telegram-Sitzungen. Keine einzelne Maßnahme kann alle Risiken allein abdecken.
Woran Sie einen möglichen Angriff erkennen
Ein Sitzungsdiebstahl muss nicht sofort sichtbar sein. Angreifer können zunächst nur Kontakte prüfen, Nachrichten lesen oder das Konto für spätere Betrugsversuche vorbereiten. Achten Sie deshalb auf Veränderungen, die nicht von Ihnen stammen. Dazu zählen unbekannte Chats, versendete Nachrichten, neue Gruppen, veränderte Einstellungen oder Hinweise auf Anmeldungen von fremden Geräten. Prüfen Sie in Telegram regelmäßig den Bereich mit den aktiven Sitzungen beziehungsweise verbundenen Geräten. Dort sehen Sie, auf welchen Geräten Ihr Konto verwendet wird. Entdecken Sie einen unbekannten Eintrag, sollten Sie ihn sofort beenden. Bei einem konkreten Verdacht empfiehlt es sich, alle anderen Sitzungen abzumelden und das zusätzliche Telegram-Passwort zu ändern.
Untersuchen Sie anschließend den betroffenen Windows-Rechner mit einer aktuellen Sicherheitslösung. Vermeiden Sie es, sensible Konten weiter auf einem möglicherweise infizierten Gerät zu öffnen, bis die Ursache geklärt ist. Informieren Sie außerdem Kontakte, wenn über Ihr Konto verdächtige Nachrichten, Zahlungsaufforderungen oder Links verschickt wurden. So reduzieren Sie das Risiko, dass weitere Personen getäuscht werden.
So schützen Sie sich vor schädlichen PowerShell-Skripten
Die wichtigste Schutzregel lautet: Führen Sie keine Befehle oder Skripte aus, deren Herkunft und Zweck Sie nicht sicher beurteilen können. Besonders kritisch sind Anleitungen, die Sie auffordern, eine lange Zeichenfolge in PowerShell einzufügen oder eine Datei mit scheinbar technischem Namen zu starten. Laden Sie Windows-Updates nur über die integrierte Update-Funktion oder offizielle Microsoft-Angebote. Ein angebliches Systemupdate aus einem Messenger, einer E-Mail, einem Forum oder einem Download-Portal ist ein deutliches Warnsignal. Halten Sie Windows, Telegram Desktop, den Browser und andere Programme aktuell, damit bekannte Sicherheitslücken geschlossen werden. Nutzen Sie ein Standardkonto für den Alltag, wenn Sie keine Administratorrechte benötigen.
Eine aktuelle Sicherheitssoftware kann bekannte Schadprogramme, verdächtige Skripte und problematische Downloads erkennen, ersetzt aber nicht Ihre Aufmerksamkeit. Sichern Sie wichtige Daten regelmäßig und trennen Sie Sicherungskopien nach Möglichkeit vom laufenden System. PowerShell statt Phishing bedeutet nicht, dass Phishing verschwindet. Beide Methoden können sich ergänzen, etwa wenn eine täuschende Nachricht das Opfer erst zum Starten des Skripts bewegt.
Welche Rolle Kaspersky Password Manager spielen kann
Kaspersky Password Manager kann Sie dabei unterstützen, für verschiedene Dienste lange und einzigartige Passwörter zu verwenden, statt ein Kennwort mehrfach einzusetzen. Nach Angaben des Herstellers speichert die Anwendung Anmeldedaten in einem verschlüsselten Tresor und unterstützt auch Passkeys sowie einmalige Codes für geeignete Zwei-Faktor-Verfahren.
Für Ihr Telegram-Konto ist vor allem die klare Trennung wichtig: Ein Passwort-Manager verbessert die Qualität und Verwaltung Ihrer Zugangsdaten. Er verhindert jedoch nicht automatisch, dass ein bereits angemeldeter Telegram-Desktop-Client auf einem infizierten Rechner ausgelesen wird. Wird eine aktive Sitzung kopiert, steht nicht das gespeicherte Passwort im Mittelpunkt. Deshalb sollte Kaspersky Password Manager nur ein Bestandteil Ihres Sicherheitskonzepts sein. Ergänzen Sie ihn durch Geräteschutz, regelmäßige Updates, kontrollierte Downloads und die Prüfung aktiver Telegram-Sitzungen.
Bewahren Sie außerdem das Hauptpasswort des Passwort-Managers sicher auf und verwenden Sie es nirgendwo sonst. So begrenzen Sie die Folgen, falls Zugangsdaten eines anderen Dienstes bekannt werden.
Fazit: Kontoschutz beginnt auch auf dem Gerät
Der Fall zeigt, wie sich die Methoden zur Kontoübernahme verändern. Kriminelle versuchen nicht mehr ausschließlich, Passwörter über gefälschte Webseiten abzufangen. Sie greifen zunehmend Informationen an, die auf einem bereits angemeldeten Gerät gespeichert sind. Genau darin liegt die Bedeutung von PowerShell statt Phishing: Eine legitime Systemfunktion wird zum Angriffswerkzeug, sobald ein schädliches Skript die Kontrolle über lokale Dateien und Prozesse erhält.
Für Sie folgt daraus ein praktischer Dreiklang. Schützen Sie erstens die Anmeldung mit einem einzigartigen Passwort, Zwei-Schritt-Verifizierung und gegebenenfalls einem Passkey. Schützen Sie zweitens den Rechner durch Updates, sichere Downloadquellen und eine aktuelle Sicherheitslösung. Kontrollieren Sie drittens regelmäßig, welche Geräte mit Ihrem Telegram-Konto verbunden sind. Handeln Sie bei unbekannten Sitzungen sofort.
Der untersuchte Stealer befand sich laut den Forschern zwar offenbar noch in der Erprobung. Das zugrunde liegende Vorgehen ist jedoch realistisch und technisch umsetzbar. Wer mehrere Schutzebenen kombiniert, verringert das Risiko deutlich und erkennt einen möglichen Missbrauch früher.