{"id":24092,"date":"2026-07-04T17:38:55","date_gmt":"2026-07-04T15:38:55","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=24092"},"modified":"2026-07-01T17:39:16","modified_gmt":"2026-07-01T15:39:16","slug":"telegram-no-password-session-stealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/telegram-no-password-session-stealer\/24092\/","title":{"rendered":"Votre compte Telegram peut \u00eatre pirat\u00e9 sans mot de passe ni code de v\u00e9rification"},"content":{"rendered":"

Il existe des dizaines de fa\u00e7ons de pirater un compte Telegram. Nous avons souvent abord\u00e9 le sujet du phishing dans les mini-applications de Telegram<\/a>, des escroqueries impliquant des bots, des cadeaux et des tirages au sort<\/a>, ainsi que de nombreuses autres tactiques. Aujourd\u2019hui, nous examinons une autre m\u00e9thode de piratage de compte, une m\u00e9thode qui repose sur un script PowerShell.<\/p>\n

Ce script, qui porte le nom trompeur de \u00ab\u00a0Mise \u00e0 jour de la t\u00e9l\u00e9m\u00e9trie Windows\u00a0\u00bb, sert en r\u00e9alit\u00e9 \u00e0 d\u00e9tourner les sessions Telegram. Il r\u00e9cup\u00e8re des donn\u00e9es sur des ordinateurs totalement vuln\u00e9rables<\/a>\u00a0et les transmet aux pirates via un bot Telegram.<\/p>\n

Un script malveillant int\u00e9grant un programme de vol de donn\u00e9es<\/h2>\n

Les cybercriminels ont souvent recours \u00e0 des scripts PowerShell pour t\u00e9l\u00e9charger discr\u00e8tement des programmes malveillants ou collecter des donn\u00e9es. Cette fois-ci, des chercheurs ont d\u00e9couvert<\/a> sur Pastebin un script se faisant passer pour une mise \u00e0 jour Windows de routine. En r\u00e9alit\u00e9, il s\u2019agissait d\u2019un logiciel de vol d\u2019informations con\u00e7u pour d\u00e9tourner les donn\u00e9es de session de Telegram pour Windows et permettre aux pirates informatiques de prendre le contr\u00f4le de comptes sans avoir besoin ni de mot de passe ni de code de v\u00e9rification.<\/p>\n

Au fond, qu\u2019est-ce qu\u2019un script PowerShell ? Voyez-le comme un fichier texte contenant des commandes destin\u00e9es \u00e0 un ordinateur Windows. Au lieu qu\u2019une personne passe du temps \u00e0 cliquer manuellement sur chaque t\u00e2che, l\u2019ordinateur suit ces instructions rapides pour tout effectuer automatiquement en quelques secondes.<\/p><\/blockquote>\n

\"Ce<\/a>

Ce script PowerShell vole les donn\u00e9es de session de Telegram pour Windows, permettant ainsi aux pirates informatiques de d\u00e9tourner des comptes sans avoir besoin ni de mot de passe ni de codes de v\u00e9rification<\/p><\/div>\n

D\u00e8s le d\u00e9but du script, les chercheurs ont imm\u00e9diatement rep\u00e9r\u00e9 un jeton de bot Telegram et un identifiant de discussion, ainsi que plusieurs r\u00e9f\u00e9rences au dossier tdata<\/em>. C\u2019est dans ce dossier que Telegram pour Windows stocke les cl\u00e9s d\u2019autorisation utilis\u00e9es pour connecter les utilisateurs \u00e0 ses serveurs. Si des pirates s\u2019emparent de ces donn\u00e9es, ils peuvent acc\u00e9der au compte Telegram de la victime sans mot de passe ni code de v\u00e9rification. Une fois \u00e0 l\u2019int\u00e9rieur, ils conservent l\u2019acc\u00e8s jusqu\u2019\u00e0 ce que la victime v\u00e9rifie ses sessions actives dans l\u2019application et mette fin manuellement \u00e0 celles qui semblent suspectes.<\/p>\n

Comment fonctionne le programme malveillant\u00a0?<\/h2>\n

Le programme malveillant camoufle son apparence et s\u2019introduit dans l\u2019ordinateur de la victime en se faisant passer pour un script PowerShell destin\u00e9 \u00e0 une mise \u00e0 jour de t\u00e9l\u00e9m\u00e9trie Windows. D\u00e8s son lancement, il recueille des informations de base sur le syst\u00e8me\u00a0: nom d\u2019utilisateur, nom d\u2019h\u00f4te et adresse IP publique. Il v\u00e9rifie ensuite si l\u2019application Telegram Desktop est install\u00e9e. Si c\u2019est le cas, le script force la fermeture de l\u2019application afin de pouvoir d\u00e9verrouiller les fichiers Telegram pour les modifier.<\/p>\n

\u00c0 partir de l\u00e0, le reste est simple\u00a0: le script compresse l\u2019int\u00e9gralit\u00e9 du contenu du dossier tdata<\/em> dans un r\u00e9pertoire temporaire, transmet directement l\u2019archive aux pirates, puis supprime le fichier de l\u2019ordinateur pour effacer toute trace.<\/p>\n

La bonne nouvelle, c\u2019est que le logiciel de vol n\u2019a probablement encore compromis aucun compte, \u00e9tant donn\u00e9 que les experts n\u2019ont trouv\u00e9 aucune preuve de transferts r\u00e9els de donn\u00e9es. Il semblerait que les chercheurs aient d\u00e9tect\u00e9 ce script PowerShell malveillant alors qu\u2019il en \u00e9tait encore au stade de test du prototype.<\/p>\n

Un autre indice, c\u2019est son nom \u00e9tonnamment suspect. Les cybercriminels utilisent g\u00e9n\u00e9ralement des noms anodins pour dissimuler leurs bots et leurs applications. Dans ce cas pr\u00e9cis, lorsque les chercheurs l\u2019ont d\u00e9couvert, le bot fonctionnait sous le pseudonyme afhbhfsdvfh_bot<\/em>, accompagn\u00e9 d\u2019une description on ne peut plus honn\u00eate\u00a0: Telegram attacker<\/em>. Les chercheurs ont not\u00e9 que, bien que le bot ait probablement fait l\u2019objet de tests fonctionnels, il n\u2019avait pas encore fait l\u2019objet d\u2019un d\u00e9ploiement \u00e0 grande \u00e9chelle, ce qui explique son nom provisoire.<\/p>\n

Comment se prot\u00e9ger contre les scripts PowerShell<\/h2>\n

Pour se pr\u00e9munir contre ce logiciel de vol sans nom, il faut adopter une approche de s\u00e9curit\u00e9 \u00e0 plusieurs niveaux. Tout d\u2019abord, il est utile de comprendre comment un script PowerShell se retrouve sur votre ordinateur. En g\u00e9n\u00e9ral, ces scripts s\u2019introduisent \u00e0 votre insu via des pi\u00e8ces jointes malveillantes, des vuln\u00e9rabilit\u00e9s logicielles, des applications infect\u00e9es ou des techniques d\u2019ing\u00e9nierie sociale. C\u2019est pourquoi nous vous recommandons d\u2019installer une suite de s\u00e9curit\u00e9 performante<\/a>\u00a0sur votre appareil et de rester tr\u00e8s vigilant lorsque vous cliquez sur des liens ou t\u00e9l\u00e9chargez des fichiers.<\/p>\n