Telegram diventa un accesso persistente per lo spionaggio
Rubare una sessione Telegram conta più di rubare una password: l'accesso resta valido e può sopravvivere alla bonifica della macchina infetta. In questo caso il compromesso non finisce con la rimozione del malware; può continuare a produrre lettura di chat, raccolta di media e visibilità sull'attività dell'account.
Kaspersky ha individuato una nuova campagna di Armored Likho, in maggio 2026, che usa un nuovo Still Toolkit scritto in Rust. Uno dei moduli copia i dati di sessione di Telegram e poi sfrutta l'API del servizio per prelevare in modo continuo messaggi e file; un secondo modulo aggiunge sorveglianza audio nascosta, registrando le conversazioni rilevate sul dispositivo.
Per chi dipende da login “ricordami” o da token di sessione su messaggistica e servizi cloud, il punto è lo stesso: la pulizia dell'endpoint non basta se la sessione rubata continua a funzionare. La campagna resta circoscritta, ma mostra come un singolo furto di token possa trasformarsi in spionaggio duraturo a livello di account.