Telegram w threat intel. Kanały, boty i limity zaufania

Telegram stał się domyślnym miejscem, w którym threat intel ogląda przecieki, skany paneli ransomware, reklamy stealera i „ekskluzywne” bazy. Część tego jest prawdziwa. Część jest marketingiem. Część jest pułapką na badaczy, dziennikarzy i firmy, które płacą za dostęp do kanału z recyklingiem starych dumpów.

Nie podaję tu invite linków do kryminalnych pokoi. Nie potrzebujesz ich, żeby zrozumieć, dlaczego ta platforma jednocześnie pomaga i kłamie.

Publiczna powierzchnia OSINT

Kanały publiczne i boty indeksowane przez wyszukiwarkę Telegrama to normalna warstwa OSINT. Widać timeliny grup ransomware (albo ich imitacje), ogłoszenia sprzedaży logów, zapowiedzi DDoS, zrzuty z rzekomych paneli. Analitycy zbierają IOC, porównują z innymi źródłami, budują timeline incydentu.

To działa, dopóki pamiętasz, że Telegram nie jest archiwum z pieczęcią autentyczności. Post można skasować. Kanał można przemianować. Admin może dopisać „update” trzy dni później i zmienić narrację. Screenshot bez kontekstu hashów i bez potwierdzenia z drugiej strony (strona ofiary, blog grupy, komunikat CERT) to plotka z ładną czcionką.

Boty ułatwiają dystrybucję: alerty, paywall, „sprawdź swój mail w bazie”. Ten ostatni wzorzec bywa phishingiem albo zbieraniem leadów. Sam fakt, że coś nazywa się „breach check”, nic nie gwarantuje.

Fałszywe kanały z wyciekami

Po dużym incydencie w ciągu godzin powstają klony. Ten sam branding, podobna nazwa, próbka danych z publicznego wycieku sprzed roku. Cel: subskrypcje, krypto na „pełny dump”, wiarygodność przed sprzedażą czegoś innego.

Ransomware ma własne strony wyciekowe w Torze i czasem lustra. Kanał na Telegramie bywa oficjalnym komunikatem, bywa fanowskim agregatorem, bywa scamem. Po operacji Cronos część infrastruktury LockBit przejęły służby. Zaufanie do „oficjalnego” kanału i tak trzeba było weryfikować wcześniej. Po przejęciu tym bardziej.

Dezinformacja w threat intel nie zawsze oznacza wielką operację państwową. Często wystarczy ktoś, kto sprzedaje FOMO. „Wyciek szpitala X” okazuje się starym ransomware notice z innego kraju. Firma odpala crisis PR. Twitter już pędzi.

Moderacja i limity zaufania do platformy

Telegram deklaruje walkę z określonymi kategoriami treści i współpracę z władzami w niektórych sprawach, jednocześnie budując markę na oporze wobec „zwykłej” moderacji. Szczegóły polityki zmieniają się i zależą od jurysdykcji. Dla badacza wniosek jest prostszy: nie zakładaj, że kanał z malware’em zostanie jutro. Nie zakładaj też, że Twoje DM-y są poza zasięgiem każdego nakazu i każdego wycieku z urządzenia.

Szyfrowanie w Telegramie nie jest domyślne dla zwykłych czatów w takim modelu jak w Signal. Secret chat to osobny tryb. Kanały i grupy to infrastruktura serwerowa. Threat model „piszę z badaczami o malware na Telegramie, więc jestem niewidzialny” miesza komunikator z opsecem urządzenia.

Aplikacja na telefonie z powiadomieniami, galerią i listą kanałów to też artefakt. Przy zatrzymaniu sprzętu albo przy stealerze sesja Telegrama bywa cenniejsza niż treść jednego posta. Infostealery zbierają tokeny sesji z przeglądarek i z aplikacji. Kanał threat intel na tym samym profilu co prywatne rozmowy to mieszanie warstw.

Ryzyko operacyjne badacza

Oglądanie publicznego kanału to jedno. Klikanie w załączniki „sample.zip” z podpisem „nowy stealer” to drugie. Środowisko izolowane, hashe z VirusTotal albo z własnego sandboxa, zero uruchamiania na maszynie codziennej. To nudne zasady. Ludzie je łamią, bo deadline reportu był wczoraj.

Płatny dostęp do „closed intel channel” bywa legalnym produktem firm OSINT. Bywa też skarboną na nic. Sprawdzaj, czy IOC potwierdzają się poza Telegramem. Sprawdzaj daty. Sprawdzaj, czy sprzedawca nie przedrukowuje za darmo z innych źródeł.

Kontakt z operatorem kanału, „żeby potwierdzić autentyczność”, sam w sobie eskaluje ryzyko. Nie potrzebujesz być celem, żeby dostać złośliwy plik w odpowiedzi. Zachowuj osobne tożsamości badawcze. Nie loguj się z konta, którego używasz do banku.

Jak czytać Telegram bez wiary w każdy post

Traktuj platformę jak radiowy skaner: dużo szumu, czasem sygnał. Zapisuj źródło, czas, hash, zrzut. Porównuj z blogami grup, z komunikatami organów, z telemetryką. Jeśli jedyne źródło to jeden kanał bez historii i bez korelacji, masz plotkę.

Przy malware i stealerach szczególnie uważaj na „darmowe sample”. Publiczny kanał threat intel bywa wektorem dystrybucji ubranym w żargon. Hash z zaufanego sandboxa znaczy więcej niż podpis z emoji ognia. Jeśli nie możesz zweryfikować próbki poza Telegramem, nie masz próbki. Masz załącznik.

To samo dotyczy list IOC wklejonych o trzeciej w nocy. Adres IP z shared hostingu, domena z sinkhole, hash legalnego narzędzia. Bez kontekstu to śmieci w raporcie. Dobry analityk wyrzuca więcej, niż zostawia.

Telegram zostaje użyteczny. Zostaje też rynkiem, na którym prawda, recykling i oszustwo stoją obok siebie w tym samym scrollu. Threat intel bez limitu zaufania kończy się kolekcją screenshotów.