Как хакерите могат да четат вашата кореспонденция в Telegram. И как да им попречите

В края на 2019 г. в отдела за разследване на киберпрестъпленията на Group-IB се обърнаха няколко руски предприемачи, които се сблъскаха с проблема с несанкциониран достъп на неизвестни лица до тяхната кореспонденция в месинджъра Telegram. Инцидентите се случваха на устройства с iOS и Android, независимо от оператора на мобилни услуги, с когото беше свързан пострадалият.

Атаката започвала с това, че на потребителя в месинджъра Telegram от сервизния канал на Telegram (официален канал на месинджъра с синя отметка за верификация) постъпвало съобщение с код за потвърждение, който потребителят не е искал. След това на смартфона на жертвата пристигало SMS с код за активиране — и почти веднага в сервизния канал на Telegram постъпвало уведомление, че в акаунта е влязло ново устройство.

Във всички случаи, за които е известно на Group-IB, злоумышлениците влизали в чужд акаунт чрез мобилен интернет (вероятно са използвани еднократни SIM карти), а IP адресът на атакуващите в повечето случаи е бил в Самара.

Достъп по поръчка

Изследване на Лабораторията по компютърна криминалистика на Group-IB, където бяха предадени електронните устройства на пострадалите, показа, че техниката не е била заразена със шпионски злонамерен софтуер или банков троянец, акаунтите не са били хакнати, а подмяна на SIM карта не е била извършвана. Във всички случаи злонамерените лица получавали достъп до месинджъра на жертвата чрез SMS кодове, получавани при вход с ново устройство.

Тази процедура изглежда по следния начин: при активиране на месинджъра на ново устройство, Telegram изпраща код чрез сервизния канал на всички устройства на потребителя, а след това (по желание) на телефона постъпва SMS съобщение. Знаейки това, злонамерените лица сами инициират искане за изпращане на SMS с код за активиране от месинджъра, прихващат това SMS и използват получените кодове за успешна авторизация в месинджъра.

По този начин нападателите получават незаконен достъп до всичките текущи чатове, с изключение на секретните, и до историята на кореспонденцията в тези чатове, включително до файловете и снимките, които са изпращани в тях. След като забележи това, легитимният потребител на Telegram може да принуди да приключи сесията на злонамерения потребител. Поради реализирания механизъм за защита, не може да се случи обратното – злонамереният потребител не може да приключи по-стари сесии на истинския потребител в рамките на 24 часа. Затова е важно да се засече ненужната сесия навреме и да се приключи, за да не загубите достъпа до акаунта. Специалистите от Group-IB изпратиха уведомление на екипа на Telegram за своето изследване на ситуацията.

Изследването на инцидентите продължава и в момента не е установено точно каква схема е използвана за заобикаляне на SMS фактора. В различни моменти изследователите представяха примери за прихващане на SMS чрез атаки на протоколите SS7 или Diameter, използвани в мобилните мрежи. Теоретично подобни атаки могат да бъдат реализирани чрез незаконно използване на специални технически средства или вътрешен достъп до мобилните оператори. В частност, на хакерски форуми в Даркнета има нови обяви с предложения за хакване на различни мессенджъри, включително и Telegram.

„Специалистите в различни страни, включително и в Русия, многократно са заявявали, че социалните мрежи, мобилния банкинг и мессенджърите могат да бъдат хакнати чрез уязвимост в протокола SS7, но това бяха единични случаи на целенасочени атаки или експериментални изследвания,” коментира Сергей Лупанин, ръководител на отдела за разследване на киберпрестъпления в Group-IB. “В серията нови инциденти, които вече са повече от 10, е очевидно желанието на нападателите да превърнат този начин на печалба в рутинен. За да се предотврати това, е необходимо да се повиши личният нивото на цифрова хигиена: поне да се използва двуфакторна аутентификация навсякъде, където е възможно, и да се добави задължителен втори фактор към SMS, което функционално е заложено и в Telegram.”

Как да се защитим?

1. В Telegram вече са реализирани всички необходими опции за киберсигурност, които ще неутрализират усилията на нападателите.
2. На устройствата с iOS и Android за Telegram е необходимо да се отиде в настройките на Telegram, да се избере раздела „Конфиденциалност“ и да се активира „Облачната парола - Двустепенна проверка“ или „Two step verification“. Подробно описание за активиране на тази опция е предоставено в инструкциите на официалния сайт на мессенджера: telegram.org/blog/sessions-and-2-step-verification (https://telegram.org/blog/sessions-and-2-step-verification)

3. Важно е да не се задава имейл адрес за възстановяване на тази парола, тъй като обикновено възстановяването на паролата към имейла също става чрез SMS. По подобен начин можете да увеличите защитата на акаунта в WhatsApp.

Източник: habr.com