«Касперский»: ПК можно взломать через Telegram

Этот пост был первоначально опубликован на этот сайт

РБК-CNEWS

Уязвимость в Telegram

Специалисты по информационной безопасности из «Лаборатории Касперского» нашли в мессенджере Telegram уязвимость нулевого дня, через которую хакеры распространяли вредоносное ПО. Речь идет о клиенте Telegram для Windows. Злоумышленники начали эксплуатировать уязвимость в марте 2017 г., «Лаборатория» узнала об этом в октябре.

Компания уже предупредила мессенджер о проблеме, и Telegram закрыл «дыру». Пользователем десктопной версии мессенджера рекомендуется обновиться до версии не ниже 1.2.0.

Все случаи эксплуатации уязвимости, замеченные экспертами, имели место на территории России. Проанализировав некоторые особенности «почерка» хакеров, сотрудники «Лаборатории» пришли к выводу, что преступники были русскоговорящими.

Символ RLO

Вредоносное ПО распространялось с помощью атаки, в ходе которой использовался специальный непечатный символ Unicode right-to-left override (RLO), который записывается как U+202E. Этот символ зеркально отражает текст, который за ним следует. RLO используется при обработке арабского языка и иврита, в которых принято писать справа налево.

Если вставить RLO в название файла, оно будет отражаться частично в зеркальном виде, включая расширение, что сделает его неузнаваемым. Таким образом вредоносный файл можно выдать за вполне безопасный. Пользователь не догадается, что это исполняемая программа, и скачает файл под видом, например, изображения.

Неизвестные хакеры использовали мессенджер Telegram для прослушки пользователей и добычи криптовалют

Чтобы замаскировать название файла, RLO следует вставить в строку следующим образом: evil.js переименовать в photo_high_re*U+202E*gnp.js. Поскольку символы, следующие после RLO, будут зеркально отражены, файл приобретет вместо расширение .js расширение .png, и пользователь примет его за картинку.

Контроль над устройствами

Как выяснила «Лаборатория Касперского», злоумышленники придумали несколько способов эксплуатировать уязвимость. Одна из схем предполагала доставку через эту брешь бэкдора на устройство жертвы. Невидимый в скрытом режиме, бэкдор открывал хакерам удаленный доступ к этому устройству через командный протокол Telegram API. Через него можно было загрузить на устройство и другие вредоносные программы — например, шпионские.

Сам загрузчик был написан на .Net. Зараженными устройствами управлял Telegram-бот, который отдавал команды загрузчику на русском

подробнее на {{ original_post_url}}