Telegram давно превратился из просто мессенджера в полноценную экосистему — с ботами, файлами, внешними ссылками и тысячами активных сообществ. Всё это делает его удобной средой не только для общения, но и для злоумышленников.

Мошеннические схемы как с использованием ВПО, так и без него становятся всё более изощрёнными, злоумышленники активно пользуются всеми возможностями мессенджера, включая последние обновления. Все эти схемы разбираются и фиксируются нашими специалистами. Наиболее частые векторы — заражённые APK-файлы, ссылки на фишинговые формы и скомпрометированные боты, выдающие себя за технические сервисы.

Классический фишинг в мессенджере

Мошеннический контент распространяется в Telegram с помощью личных сообщений и различного рода Telegram-ботов, чатов и каналов. Мы рассмотрели наиболее популярные схемы, часто используемые мошенниками в последние месяцы.

Фейковые подарки

Злоумышленники предлагают якобы бесплатную подписку на Telegram Premium, чтобы выманить у пользователя учётные данные и получить доступ к его аккаунту.

Пользователя просят ввести номер телефона, привязанный к Telegram. Далее вместо привычного входа через приложение жертва получает настоящий SMS-код от Telegram (или push-уведомление в Telegram Web) и вводит его на фишинговом сайте, думая, что подтверждает участие в акции.

QR-коды

Злоумышленники применяют разные уловки с помощью QR-кодов — от скрытых платежей до фишинга.

Основные векторы применения QR-кодов:

1. Кликджекинг
   Мошенники размещают вредоносные QR-коды в людных местах, например, на туристических объектах, маскируя их под полезные ссылки.

2. Подмена кодов для сбора предоплат
   При оплате услуг через QR-код (аренда самокатов, парковка) мошенники заменяют оригинальные коды своими. В результате деньги уходят не компании, а преступникам, а пользователь остаётся без услуги.

3. Фишинг: кража данных через фальшивые страницы
   QR-коды с фишинговыми ссылками маскируют под легальные — их вклеивают в меню, размещают на афишах или даже продают.
   При сканировании человек попадает на поддельный сайт, например, банка или Госуслуг, где его просят ввести логин, пароль или платёжные данные

Кроме того, злоумышленники используют интерес и доверие жильцов к локальным сообществам, размещая в подъездах жилых домов объявления с QR-кодами для вступления в «домовые чаты».

При переходе по такому QR-коду жертву встречает фишинговый сайт, мимикрирующий под web-версию Telegram, в которой пользователю предлагается ввести свои данные.

В другом варианте схемы пользователи попадают в телеграм-чат с бурной перепиской и множеством «полезных» ссылок. Основная цель — получить контроль над учётными записями для дальнейшего распространения мошеннических схем.

Telegram-боты

Боты в мессенджере выполняют несколько задач:

1. Приманка (кликбейт): для участия в розыгрыше, получении денег, дополнительного дохода, проверки аккаунта и так далее;

2. Сбор данных: бот запрашивает разрешение на доступ к Telegram ID, просит отправить номер телефона и код из SMS для верификации;

3. Мошеннические цели: подмена личности, получение платёжной информации, использование аккаунта для спама и других схем.

Один из подобных ботов встретился нам в ходе исследования. Мошенники просят пользователя перейти в бота-помощника онлайн-школы.

Представляем полный текст сообщения ниже:

Имена куратора и бота обычно совпадают, чтобы создать видимость естественной ситуации, но часто мошенники даже не заморачиваются, а просто пытаются найти невнимательную жертву. В данном случае фамилии в профиле мошенника и бота различаются.

Используемое вредоносное ПО

Mamont

Троян Mamont в Telegram активно используется киберпреступниками по сей день. Так, очередные попытки его применения мы зафиксировали в феврале 2025 года. Злоумышленники рассылают вредоносные файлы в формате .apk через мессенджеры, маскируя их под фото-/видеофайлы и сопровождая сообщением «Это ты на фото/видео?».

При попытке просмотра фотографии с расширением .apk происходит установка приложения на мобильное устройство, после чего у пользователя запрашиваются разрешения на доступ к сети, чтение, перехват, отправку SMS-сообщений и прочих уведомлений, а также доступ к контактам и истории телефонных вызовов.

ВПО также загружает дополнительные модули по протоколам HTTP\HTTPS и поддерживает соединение с C2-сервером через WebSocket.
Источник

В таблице MITRE ATT&CK для Android работа ВПО описана следующим образом:

Ozon Tracker

Злоумышленник под видом поиска сотрудника в магазин, реализующий свои товары на маркетплейсе, отправляет потенциальной жертве внешнее приложение в формате .apk и креды от него. Данное приложение является ВПО DeliveryRAT.

ВПО маскируется под множество приложений торговых площадок — Ozon, Avito, CDEK, Youla, Wildberries. Во время установки запрашивает разрешения на устройстве жертвы:

• номер мобильного телефона;

• название оператора сотовой сети;

• чтение и отправка SMS-сообщений;

• перехват и сокрытие push-уведомлений других приложений;

• доступ к содержимому буфера обмена и установленных приложений;

• доступ к информации об операционной системе.

В таблице MITRE ATT&CK для Android работа ВПО описана следующим образом:

Приглашение на свадьбу

Злоумышленники активно рассылают фальшивые приглашения на свадьбу через личные и групповые чаты в популярных мессенджерах. Пользователей просят установить специальный APK-файл, якобы необходимый для просмотра приглашения. На самом деле в этом файле скрыт опасный стилер Tria (стилер — тип вредоносного ПО, которое используется для кражи информации, например, логинов и паролей). Он похищает данные с устройства жертвы: контакты, сообщения, фотографии и финансовую информацию. Более того, после заражения смартфона вирус автоматически распространяется, отправляя аналогичные приглашения от имени пострадавшего всем его контактам.

Украденные данные отправляются на сервер C2 через различные Telegram-боты для последующей компрометации аккаунта жертвы в мессенджере.

Далее существует два сценария развития:

1. Злоумышленники от лица жертвы просят деньги среди контактов в мессенджере;

2. Однако возможен и более неприятный сценарий: злоумышленники могут получить доступ к банковским счетам жертвы, запросив и перехватив OTP-коды, необходимые для входа в систему.

Схема работы ВПО описана в матрице MITRE ATT&CK для Android. По ID можно найти дополнительную информацию о техниках.

FireScam

FireScam маскируется под приложение Telegram Premium на фейковой странице RuStore. Страница загружает на устройство дроппер GetAppsRu.apk (дроппер — троянская программа для скрытой установки ВПО), невидимый для средств защиты Android.

Приложение получает множество разрешений, позволяющих реализовать сканирование установленных приложений, доступ к хранилищу гаджета или разрешение на загрузку дополнительных пакетов.

Далее грузится Telegram_Premium.apk, запрашивающий ещё больше разрешений. При первом запуске открывается страница авторизации Telegram. Данные, вводимые в окне авторизации, похищаются в первую очередь, отправляясь в СУБД Firebase. Также FireScam поддерживает соединение с C2-сервером, что позволяет удалённо выполнять команды на устройстве жертвы.

Источник

Вот так выглядят техники мошенников с использованием FireScam в таблице MITRE ATT&CK для Android:

Android.Spy.1292.origin

Android.Spy.1292.origin — Android-шпион, нацеленный на российских военнослужащих, использующих картографическое ПО Alpine Quest. Данный троян распространялся под видом версии скомпрометированного приложения с расширенным функционалом, доступ к которому предоставлялся через поддельный телеграм-канал.

При каждом запуске троян собирает и передаёт на C2-сервер множество конфиденциальных данных, в числе которых файл журнала локаций locLog, создаваемый самой программой Alpine Quest, а также документы, которые пользователи передают через мессенджеры Telegram и WhatsApp. Эти данные представляют наибольший интерес для создателей трояна.
Источник

Таблица MITRE ATT&CK для Android по данному ВПО:

Supercard X

Supercard X — это вредоносное ПО для Android, распространяемое по модели Malware-as-a-Service (MaaS). Оно осуществляет relay-атаки по NFC для кражи данных банковских карт и проведения несанкционированных транзакций.

Разработчики сервиса связаны с хакерскими группировками, участники которых общаются преимущественно на китайском языке. Точка входа — методы социальной инженерии.

Таблица MITRE ATT&CK для Android по данному ВПО:

На рисунках ниже представлены данные по сэмплу ВПО, а также правило обнаружения вторжений.

Вывод

Простота, доверие к платформе и высокая вовлечённость пользователей Telegram делают его привлекательной средой для активности злоумышленников.

Чтобы минимизировать риск, важно соблюдать базовые принципы цифровой гигиены:

• не скачивать файлы и не устанавливать приложения из подозрительных источников;

• не переходить по подозрительным ссылкам;

• не запускать вложения без проверки;

• не доверять ботам, запрашивающим логины или коды;

• настройка двухфакторной/многофакторной аутентификации и внимательное отношение к разрешениям приложений — простые, но эффективные меры защиты.

А в корпоративной среде важно не только техническое обеспечение безопасности, но и регулярное проведение ликбеза для сотрудников: обучение помогает повысить устойчивость организации к атакам, использующим человеческий фактор.

Индикаторы компрометации описанного в статье ВПО:

Mamont

DeliveryRAT

Tria Stealer

FireScam

Android.Spy.1292.origin

Supercard X