«Лаборатория Касперского» зафиксировала попытки заражения компьютеров трояном WebRAT (Salat Stealer) при посещении отдельных Telegram-каналов. Специалисты предположили, что злоумышленники могли воспользоваться уязвимостью новых HTML-виджетов мессенджера.
По данным компании, вредоносная активность приводила к незаметному запуску сценария PowerShell, который загружал и выполнял троян, написанный на Rust.
Первые попытки атаковать пользователей таким способом зафиксировали в ночь на 13 ноября. Подробности заражения в «Лаборатории Касперского» не раскрыли.
WebRAT известен специалистам как минимум с осени 2025 года. Тогда троян распространяли через поддельные репозитории GitHub, замаскированные под инструменты для эксплуатации свежих уязвимостей.
Программа позволяет злоумышленникам удаленно управлять зараженными устройствами, похищать данные криптокошельков и учетных записей Telegram. Среди других ее возможностей — запись экрана, перехват нажатий клавиш и доступ к веб-камере и микрофону.
Уязвимости в новой функции Telegram
9 ноября Telegram выпустил Bot API 10.4, который позволил ботам отправлять интерактивные HTML-виджеты. Они содержали элементы интерфейса и скрипты JavaScript, которые выполнялись непосредственно внутри сообщения.
Код виджетов обрабатывал движок QuickJS. Согласно документации Telegram, виджеты работали в изолированной среде без прямого доступа к интернету.
11 ноября исследовательская команда V12 продемонстрировала возможность удаленного выполнения кода на Android через специально подготовленный виджет.
Any telegram message can now become RCE 6630b003766baed1fa86cea880d22e41dc416f63d800de3246941ede2396ad48 https://t.co/NLqRINZ0hg
— V12 (@v12sec) November 11, 2026
На опубликованном видео пользователь открывает чат с ботом и нажимает «Старт». После получения интерактивного сообщения на смартфоне автоматически запускается «Калькулятор».
В Telegram заявили, что исправили ошибку в версии для Android 10 ноября, а на следующий день обновление получили все пользователи.
Согласно журналу изменений QuickJS, разработчики устранили ошибку обработки конструкции await using, о которой сообщили применительно к Telegram для Android 13.2.1. Уязвимость затрагивала движок на всех платформах, где он использовался.
В ночь на 13 число V12 показала аналогичную атаку на Telegram Desktop 7.4.3 для Windows. Эта версия вышла 12 ноября — уже после нескольких исправлений в QuickJS.
Here’s another RCE that works on the "patched" Windows @telegram client. Even if individual bugs get patched, allowing (unsandboxed!) QuickJS in messages massively opens up the attack surface. https://t.co/BgstFlCKAI
— V12 (@v12sec) November 13, 2026
При этом V12 не опубликовала технические детали демонстраций, а лишь привела хеш SHA-256. Неизвестно, какие именно ошибки использовали исследователи и связаны ли они с предполагаемыми атаками WebRAT.
Дуров отверг сообщения о возможности взлома одним сообщением
13 ноября основатель Telegram Павел Дуров заявил, что сообщения о возможности удаленного выполнения кода через виджеты не соответствуют действительности.
Re alleged RCE in new TG Android/Windows widgets: The issue doesn’t exist. No one could be hacked just by receiving a message. You had to start a 3rd party service first. Even that is fully patched server-side. Think otherwise? Go hack my account: https://t.co/L5oDjG4S4K 🍿
— Pavel Durov (@durov) November 13, 2026
По его словам, пользователь не мог подвергнуться атаке только из-за получения сообщения. Для продемонстрированного исследователями сценария требовалось самостоятельно запустить сторонний сервис, отметил он.
Дуров также написал, что соответствующую возможность полностью заблокировали на стороне сервера. Тем, кто с этим не согласен, основатель мессенджера предложил попробовать взломать его аккаунт.
В тот же день Telegram отключил поддержку HTML-виджетов на сервере, сообщил профильный канал Gramnews. Боты больше не могут отправлять новые виджеты, но полученные ранее продолжили работать в чатах. Отдельного заявления об отключении функции компания не публиковала.
В той же документации Telegram указано, что в рабочей версии виджеты были доступны только в личных чатах с ботами, а публиковать их в каналах было нельзя. Каким образом предполагаемая эксплуатация уязвимости могла происходить при посещении каналов, пока неизвестно.
«Лаборатория Касперского» рекомендовала пользователям не запускать HTML-виджеты до выхода исправления.
Напомним, в апреле «Лаборатория Касперского» выявила в России кампанию по распространению трояна CrystalX через рекламу в Telegram и YouTube. Вредонос похищал данные аккаунтов и подменял адреса криптокошельков.