«Лаборатория Касперского» 13 ноября сообщила об атаках, при которых посещение некоторых Telegram-каналов сопровождалось незаметной загрузкой вредоносной программы WebRAT. Первые попытки компания зафиксировала в ночь с 12 на 13 ноября. Связь этой активности с недавно появившимися HTML-виджетами она пока называет предположительной.

По описанию исследователей, на компьютере запускался PowerShell-скрипт, который скачивал и запускал WebRAT, также известный как Salat Stealer. Троян позволяет управлять заражённой системой и способен красть данные криптокошельков и аккаунтов Telegram. В сообщении не названы число пострадавших, версии клиента и техническая цепочка эксплуатации. Поэтому оно не доказывает, что любой входящий виджет или простое получение сообщения приводят к взлому.

Ранее в тот же день Павел Дуров отверг именно сценарий взлома одним полученным сообщением: по его словам, сначала требовалось самостоятельно запустить сторонний сервис, а затем и этот путь полностью закрыли на стороне сервера. Когда именно были остановлены описанные Касперским попытки и относятся ли они к тому же механизму, из двух заявлений установить нельзя.

HTML-виджеты — новый формат интерактивных сообщений ботов, открытый 9 ноября. По документации Telegram их код должен работать в изолированной среде без прямого доступа к сети. Вечером 13 ноября Gram News зафиксировал отключение отправки новых виджетов для всех ботов, уточнив, что ранее полученные продолжали работать. Это ограничение распространения функции само по себе не подтверждает устранение всех ошибок в уже установленных клиентах.