{"id":32286,"date":"2026-07-01T09:47:01","date_gmt":"2026-07-01T07:47:01","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=32286"},"modified":"2026-07-01T09:47:01","modified_gmt":"2026-07-01T07:47:01","slug":"telegram-no-password-session-stealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/telegram-no-password-session-stealer\/32286\/","title":{"rendered":"Puedes perder el acceso a tu cuenta de Telegram sin contrase\u00f1as ni c\u00f3digos de verificaci\u00f3n"},"content":{"rendered":"

Existen decenas de formas de acceder a la cuenta de Telegram de una persona. Hemos tratado en numerosas ocasiones el tema del phishing en las miniaplicaciones de Telegram<\/a>, las estafas con bots, los regalos y los sorteos<\/a>, as\u00ed como muchas otras t\u00e1cticas. Hoy vamos a analizar otro m\u00e9todo m\u00e1s de secuestro de cuentas, uno que se basa en un script de PowerShell.<\/p>\n

El script, cuyo nombre enga\u00f1oso es \u201cActualizaci\u00f3n de telemetr\u00eda de Windows\u201d, sirve en realidad como herramienta para secuestrar sesiones de Telegram. Recopila datos de ordenadores totalmente desprotegidos<\/a>\u00a0y los env\u00eda a los atacantes a trav\u00e9s de un bot de Telegram.<\/p>\n

Un script malicioso que contiene un stealer<\/h2>\n

Los atacantes con frecuencia conf\u00edan en los scripts de PowerShell para descargar malware o recolectar datos de manera encubierta. Esta vez, los investigadores descubrieron<\/a> un script en Pastebin que se hac\u00eda pasar por una actualizaci\u00f3n rutinaria de Windows. En realidad, era un infostealer dise\u00f1ado para secuestrar datos de sesi\u00f3n de Telegram para Windows y permitir que los pciberdelincuentes se apoderaran de cuentas sin contrase\u00f1a ni c\u00f3digo de verificaci\u00f3n.<\/p>\n

\u00bfQu\u00e9 es, en realidad, un script de PowerShell? Piensa en \u00e9l como un archivo de texto lleno de comandos para un ordenador con Windows. En lugar de que una persona tenga que perder tiempo haciendo clic manualmente en cada tarea, el ordenador sigue estas breves instrucciones para hacerlo todo autom\u00e1ticamente en cuesti\u00f3n de segundos.<\/p><\/blockquote>\n

\"Este<\/a>

Este script de PowerShell roba los datos de sesi\u00f3n de Telegram para Windows, lo que les permite a los ciberdelincuentes secuestrar cuentas sin necesidad de contrase\u00f1as ni c\u00f3digos de verificaci\u00f3n.<\/p><\/div>\n

Justo al principio del script, los investigadores detectaron enseguida un token de bot de Telegram y un ID de chat, adem\u00e1s de varias referencias a la carpeta tdata<\/em>. Esta carpeta espec\u00edfica es donde Telegram para Windows guarda las claves de autorizaci\u00f3n utilizadas para iniciar sesi\u00f3n en sus servidores. Si los atacantes consiguen estos datos, pueden acceder a la cuenta de Telegram de la v\u00edctima sin necesidad de contrase\u00f1as ni c\u00f3digos de verificaci\u00f3n. Una vez dentro, siguen teniendo acceso hasta que la v\u00edctima comprueba sus sesiones activas en la app y cierra manualmente las que le parezcan sospechosas.<\/p>\n

C\u00f3mo funciona el stealer<\/h2>\n

El malware se cuela en el ordenador de la v\u00edctima camuflado como un script de PowerShell para una actualizaci\u00f3n de telemetr\u00eda de Windows. En cuanto se ejecuta, recopila informaci\u00f3n b\u00e1sica del sistema: nombre de usuario, nombre de host y direcci\u00f3n IP p\u00fablica. Luego, comprueba si tienes instalado Telegram Desktop. Si es as\u00ed, el script obliga a la aplicaci\u00f3n a cerrarse para poder desbloquear los archivos de Telegram y poder editarlos.<\/p>\n

A partir de ah\u00ed, el resto es sencillo: el script comprime todo el contenido de la carpeta tdata<\/em> en un directorio temporal, env\u00eda el archivo comprimido directamente a los atacantes y lo borra del ordenador para ocultar sus rastros.<\/p>\n

La buena noticia es que es probable que el stealer a\u00fan no haya vulnerado ninguna cuenta, ya que los expertos no encontraron pruebas de que se hayan producido transferencias de datos. Al parecer, los investigadores detectaron este script malicioso de PowerShell cuando a\u00fan se encontraba en la fase de pruebas del prototipo.<\/p>\n

Otro indicio es su nombre, que resulta sorprendentemente sospechoso. Los ciberdelincuentes suelen utilizar nombres neutrales para ocultar sus bots y aplicaciones. En este caso, cuando los investigadores lo encontraron, el bot se ejecutaba bajo el nombre de usuario afhbhfsdvfh_bot<\/em>, con una descripci\u00f3n que no dejaba lugar a dudas: Atacante de Telegram<\/em>. Los investigadores se\u00f1alaron que, aunque era probable que el bot se hubiera sometido a pruebas funcionales, a\u00fan no se hab\u00eda implementado a gran escala, lo que explica el nombre provisional.<\/p>\n

C\u00f3mo protegerte contra los scripts de PowerShell<\/h2>\n

Para defenderse de este ladr\u00f3n an\u00f3nimo, hay que adoptar un enfoque de seguridad por capas. Para empezar, debemos entender c\u00f3mo llega un script de PowerShell a tu PC en primer lugar. Normalmente, se cuelan sin que te des cuenta a trav\u00e9s de archivos adjuntos maliciosos en correos electr\u00f3nicos, vulnerabilidades de software, aplicaciones infectadas o trucos de ingenier\u00eda social. Por eso, recomendamos instalar un buen paquete de seguridad<\/a>\u00a0en tu dispositivo y que tengas mucho cuidado con los enlaces en los que haces clic y los archivos que descargas.<\/p>\n