Как нападателите могат да прочетат вашата кореспонденция в Telegram. И как да ги спрем да направят това?

В края на 2019 г. няколко руски предприемачи се свързаха с отдела за разследване на киберпрестъпления на Group-IB, които бяха изправени пред проблема с неоторизиран достъп на неизвестни лица до тяхната кореспонденция в месинджъра на Telegram. Инцидентите са се случили на устройства с iOS и Android, независимо на кой федерален клетъчен оператор е била клиент жертвата.

Атаката започна, като потребителят получи съобщение в месинджъра на Telegram от канала на услугата Telegram (това е официалният канал на месинджъра със синя проверка за потвърждение) с код за потвърждение, който потребителят не е поискал. След това на смартфона на жертвата беше изпратен SMS с код за активиране - и почти веднага в канала на услугата Telegram беше получено известие, че акаунтът е влязъл от ново устройство.

Във всички случаи, за които Group-IB знае, нападателите са влизали в чужд акаунт през мобилен интернет (вероятно използвайки SIM карти за еднократна употреба), а IP адресът на нападателите в повечето случаи е бил в Самара.

Достъп при поискване

Проучване на Лабораторията за компютърна криминалистика на Group-IB, където са прехвърлени електронните устройства на жертвите, показа, че оборудването не е било заразено с шпионски софтуер или банков троянски кон, акаунтите не са били хакнати и SIM картата не е сменена. Във всички случаи нападателите са получили достъп до месинджъра на жертвата с помощта на SMS кодове, получени при влизане в акаунта от ново устройство.

Тази процедура е следната: когато активирате месинджъра на ново устройство, Telegram изпраща код през канала на услугата до всички потребителски устройства и след това (при поискване) се изпраща SMS съобщение до телефона. Знаейки това, нападателите сами инициират заявка към месинджъра да изпрати SMS с код за активиране, прихващат този SMS и използват получения код за успешно влизане в месинджъра.

По този начин нападателите получават незаконен достъп до всички текущи чатове, с изключение на тайните, както и до историята на кореспонденцията в тези чатове, включително файлове и снимки, които са им изпратени. След като открие това, легитимен потребител на Telegram може принудително да прекрати сесията на нападателя. Благодарение на внедрения механизъм за защита не може да се случи обратното, атакуващият не може да прекрати по-стари сесии на реален потребител в рамките на 24 часа. Затова е важно да откриете външна сесия навреме и да я прекратите, за да не загубите достъп до акаунта си. Специалистите на Group-IB изпратиха известие до екипа на Telegram за разследването на ситуацията.

Проучването на инцидентите продължава, като към момента не е установено точно каква схема е използвана за заобикаляне на SMS фактора. В различни моменти изследователите са давали примери за прихващане на SMS чрез атаки срещу протоколите SS7 или Diameter, използвани в мобилните мрежи. Теоретично такива атаки могат да бъдат извършени с незаконно използване на специални технически средства или вътрешна информация от клетъчни оператори. По-специално, на хакерските форуми в Darknet има свежи реклами с предложения за хакване на различни месинджъри, включително Telegram.

„Експерти в различни страни, включително Русия, многократно са заявявали, че социалните мрежи, мобилното банкиране и месинджърите могат да бъдат хакнати с помощта на уязвимост в протокола SS7, но това са изолирани случаи на целеви атаки или експериментални изследвания“, коментира Сергей Лупанин, ръководител от отдела за разследване на киберпрестъпления в Group-IB, „В серия от нови инциденти, от които вече има повече от 10, желанието на нападателите да пуснат този метод за печелене на пари е очевидно. За да предотвратите това, е необходимо да повишите собственото си ниво на цифрова хигиена: като минимум използвайте двуфакторно удостоверяване, когато е възможно, и добавете задължителен втори фактор към SMS, който е функционално включен в същата Telegram. ”

Как да се предпазите?

1. Telegram вече е внедрил всички необходими опции за киберсигурност, които ще намалят усилията на нападателите до нищо.
2. На устройства с iOS и Android за Telegram трябва да отидете в настройките на Telegram, да изберете раздела „Поверителност“ и да зададете „Парола в облака, проверка в две стъпки“ или „Проверка в две стъпки“. Подробно описание как да активирате тази опция е дадено в инструкциите на официалния уебсайт на месинджъра: telegram.org/blog/sessions-and-2-step-verification (https://telegram.org/blog/sessions-and-2-step-verification)

3. Важно е да не задавате имейл адрес за възстановяване на тази парола, тъй като по правило възстановяването на паролата за имейл също става чрез SMS. По същия начин можете да увеличите сигурността на вашия акаунт в WhatsApp.

Източник: www.habr.com