Данные пользователей «Телеграма» пытаются украсть через новую уязвимость виджетов, сообщили в «Касперском» Эксперты «Лаборатории Касперского» зафиксировали первые предположительные попытки использовать новую RCE-уязвимость в HTML-виджетах «Телеграма» в ночь с 12 на 13 ноября, сообщили в компании. 🔵 Как крадут. Злоумышленники незаметно для пользователя запускают PowerShell-скрипт, который скачивает и запускает известное вирус WebRAT (Salat Stealer). Он позволяет управлять зараженной системой, а также красть данные криптокошельков и аккаунтов в Telegram. Это происходит при взаимодействии с виджетами. 🔵 Что за уязвимость. 10 ноября Павел Дуров представил новый функционал «Телеграма», который позволяет превращать сообщения в чатах в виджеты, мини-приложения с функцией оплаты. Команды выполняются в виртуальной среде на QuickJS — движке для языка JavaScript. Специалисты сразу нескольких команд в сфере кибербезопасности заметили, что разработчики Telegram не изолировали виртуальную среду и, вероятно, создали новый функционал путем вайбкодинга. Дыра в безопасности позволяет запустить через виджет удаленное выполнение кода (RCE; remote code execution), когда пользователь с ним взаимодействует, и получить доступ к клиенту «Телеграма» со всеми правами, которые у клиента есть в конкретной операционной системе. Уязвимость нашли на iOS, Android и десктопном приложении для Windows. Команда Telegram выпустила несколько обновлений с исправлениями, но, как отметили специалисты, возможности для RCE будут сохраняться из-за самого дизайна функции. Подробнее об уязвимости мы писали здесь. 🔵 Как отреагировал Дуров. Основатель Telegram в своем заявлении отрицает наличие проблемы. При этом он заявил, что ошибка исправлена «на стороне сервера». На деле виджеты в мессенджере теперь просто отключены на сервере. 🔵 Что делать. ИБ-специалисты рекомендуют не запускать виджеты в принципе, не вести чувствительную переписку в мессенджере, а также создать отдельную папку чатов в категории «Боты» и остановить и заблокировать все запущенные боты. Приложение | YouTube | Telegram | X | Instagram
- 27
- 14
- 8
- 7
- 6
- 2
- 2
- 1