{"id":33678,"date":"2026-07-01T11:12:25","date_gmt":"2026-07-01T09:12:25","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33678"},"modified":"2026-06-30T17:14:07","modified_gmt":"2026-06-30T15:14:07","slug":"telegram-no-password-session-stealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/telegram-no-password-session-stealer\/33678\/","title":{"rendered":"Diebstahl von Telegram-Accounts \u2013 auch ohne Passwort und Best\u00e4tigungscode"},"content":{"rendered":"

Hacker haben Dutzende von Werkzeugen, mit denen sie fremde Telegram-Konten \u00fcbernehmen k\u00f6nnen. Mit vielen dieser Taktiken haben wir uns schon befasst: Phishing in Telegram-Mini-Apps<\/a>, Betrug mit Bots, Schwindel mit Geschenken und Gewinnspielen<\/a>. Jetzt gibt es eine neue Methode, mit der Accounts gestohlen werden und bei der ein PowerShell-Skript eingesetzt wird.<\/p>\n

Das Skript tr\u00e4gt den harmlosen Namen \u201eWindows Telemetry Update\u201c, kann aber Telegram-Sitzungen kapern. Dann sammelt es Daten von wehrlosen<\/a>\u00a0Computern und leitet sie \u00fcber einen Telegram-Bot an die Angreifer weiter.<\/p>\n

Ein b\u00f6se Sache: Skript + Stealer<\/h2>\n

Cyberkriminelle setzen h\u00e4ufig auf PowerShell-Skripte, um heimlich Malware herunterzuladen oder Daten zu sammeln. Im April entdeckten<\/a> Forscher bei Pastebin ein Skript, das sich als routinem\u00e4\u00dfiges Windows-Update ausgab. In Wirklichkeit war es jedoch ein Infostealer, der Sitzungsdaten aus Telegram f\u00fcr Windows stiehlt, mit denen Hacker Benutzerkonten \u00fcbernehmen k\u00f6nnen. Einfach so, ohne Passwort oder SMS-Best\u00e4tigungscode.<\/p>\n

Was ist ein PowerShell-Skript? Man kann es sich als eine Textdatei vorstellen, die Befehle f\u00fcr einen Windows-Computer enth\u00e4lt. Aufgaben, die ein Nutzer normalerweise m\u00fchevoll und mit vielen Mausklicks erledigt, werden anhand dieser Kurzanleitung in Sekundenbruchteilen automatisch vom Computer ausgef\u00fchrt.<\/p><\/blockquote>\n

\"Dieses<\/a>

Dieses PowerShell-Skript stiehlt Sitzungsdaten aus Telegram f\u00fcr Windows. Damit k\u00f6nnen Hacker Konten kapern. Ein Passwort oder einen Best\u00e4tigungscode brauchen sie daf\u00fcr nicht<\/p><\/div>\n

In den ersten Zeilen des Skripts entdeckten die Forscher einen Telegram-Bot-Token, eine Chat-ID sowie mehrere Verweise auf den Ordner tdata<\/em>. In diesem Ordner speichert Telegram f\u00fcr Windows die Autorisierungsschl\u00fcssel, die zur Anmeldung bei Telegram-Servern ben\u00f6tigt werden. Wenn Angreifer diese Daten erbeuten, k\u00f6nnen sie ohne Passwort und Best\u00e4tigungscode auf das Telegram-Konto des Opfers zugreifen. Den Zugriff behalten die Hacker, bis das Opfer die aktiven Sitzungen in der App \u00fcberpr\u00fcft und verd\u00e4chtige Sitzungen manuell beendet.<\/p>\n

So funktioniert der Stealer<\/h2>\n

Die Malware ist als PowerShell-Skript f\u00fcr ein Windows-Telemetrie-Update getarnt und gelangt unter dieser Maske auf den Computer des Opfers. Sobald sie gestartet wird, sammelt sie wichtige Systeminformationen (Benutzername, Hostname und \u00f6ffentliche IP-Adresse). Anschlie\u00dfend pr\u00fcft sie, ob Telegram-Desktop installiert ist. Wenn ja, erzwingt das Skript, dass die App geschlossen wird. Dann k\u00f6nnen die Telegram-Dateien bearbeitet werden.<\/p>\n

Der Rest ist ein Kinderspiel: Das Skript komprimiert den gesamten Inhalt des Ordners tdata<\/em> in einem tempor\u00e4ren Verzeichnis, leitet das Archiv direkt an die Angreifer weiter und l\u00f6scht die Datei vom Computer, um keine Spuren zu hinterlassen.<\/p>\n

Die gute Nachricht: Bisher hat der Stealer wahrscheinlich noch keine Konten kompromittiert. Zumindest konnten die Experten noch keine Hinweise auf eine tats\u00e4chliche Daten\u00fcbertragung finden. Das b\u00f6sartige PowerShell-Skript wurde offenbar w\u00e4hrend der Testphase des Prototyps entdeckt.<\/p>\n

F\u00fcr diese Theorie spricht auch der verd\u00e4chtige Name. Normalerweise verwenden Cyberkriminelle neutrale Namen, um b\u00f6sartige Bots und Apps zu tarnen. Als der Bot entdeckt wurde, lief er unter dem seltsamen Namen afhbhfsdvfh_bot<\/em> und verriet sich durch die offenherzige Beschreibung Telegram attacker<\/em>. Die Erkl\u00e4rung der Forscher: Vermutlich liefen damals Funktionstests f\u00fcr den Bot, er wurde aber noch nicht in gro\u00dfem Umfang verbreitet. Daher der verr\u00e4terische Name.<\/p>\n

So sch\u00fctzt du dich vor PowerShell-Skripten<\/h2>\n

Wer diesen namenlosen Dieb unsch\u00e4dlich machen will, ben\u00f6tigt einen mehrschichtigen Sicherheitsansatz. Dazu muss man erst einmal wissen, wie PowerShell-Skripte auf einen PC gelangen. Normalerweise schleichen sie sich klammheimlich ein \u2013 \u00fcber b\u00f6sartige E-Mail-Anh\u00e4nge, Softwareschwachstellen, infizierte Apps oder Social-Engineering-Tricks. Unsere Empfehlung: Installiere eine robuste Sicherheitssuite <\/a>\u00a0auf deinem Ger\u00e4t und sei vorsichtig, auf welche Links du klickst und welche Dateien du herunterl\u00e4dst.<\/p>\n