Wie Angreifer deine Nachrichten in Telegram lesen können. Und wie du sie daran hindern kannst.

Ende 2019 wandten sich mehrere russische Unternehmer an die Abteilung für Cyberkriminalitätsforschung von Group-IB, die mit dem Problem des unbefugten Zugriffs Unbekannter auf ihre Kommunikation im Messenger Telegram konfrontiert waren. Die Vorfälle traten auf iOS- und Android-Geräten auf, unabhängig davon, welcher Mobilfunkanbieter bei den Betroffenen im Einsatz war.

Der Angriff begann damit, dass der Nutzer eine Nachricht von einem Serviceteil von Telegram (dies ist der offizielle Kanal des Messengers mit dem blauen Bestätigungshäkchen) mit einem Bestätigungscode erhielt, den der Nutzer nicht angefordert hatte. Danach erhielt das Smartphone des Opfers eine SMS mit einem Aktivierungscode - und praktisch sofort kam eine Benachrichtigung an den Serviceteil von Telegram, dass sich von einem neuen Gerät in das Konto eingeloggt wurde.

In allen Fällen, die Group-IB bekannt sind, griffen die Angreifer auf fremde Konten über das mobile Internet zu (vermutlich wurden Einweg-SIM-Karten verwendet), während die IP-Adressen der Angreifer in den meisten Fällen in Samara lokalisiert wurden.

Zugriff auf Bestellung

Eine Untersuchung des Labors für Computerforensik von Group-IB, das die elektronischen Geräte der Betroffenen erhielt, zeigte, dass die Technik nicht mit Spyware oder Banking-Trojanern infiziert war, die Konten nicht gehackt und keine SIM-Karten ausgetauscht wurden. In allen Fällen erhielten die Angreifer Zugriff auf den Messenger des Opfers über SMS-Codes, die beim Einloggen in das Konto von einem neuen Gerät empfangen wurden.

Dieser Vorgang läuft folgendermaßen ab: Bei der Aktivierung des Messengers auf einem neuen Gerät sendet Telegram einen Code über den Serviceteil an alle Geräte des Nutzers und anschließend (auf Anfrage) geht eine SMS-Nachricht an das Telefon. In dem Wissen darüber initiieren die Angreifer selbst die Anfrage zur Versendung einer SMS mit dem Aktivierungscode und fangen diese SMS ab, um den erhaltenen Code für eine erfolgreiche Authentifizierung im Messenger zu verwenden.

Auf diese Weise erhalten Angreifer illegalen Zugriff auf alle aktuellen Chats, mit Ausnahme der geheimen, sowie auf den Chatverlauf, einschließlich der Dateien und Fotos, die darin gesendet wurden. Wenn ein legitimer Telegram-Nutzer dies feststellt, kann er die Sitzung des Angreifers manuell beenden. Dank des implementierten Schutzmechanismus kann das Gegenteil nicht eintreten; der Angreifer kann innerhalb von 24 Stunden keine älteren Sitzungen des aktuellen Nutzers beenden. Daher ist es wichtig, eine fremde Sitzung rechtzeitig zu erkennen und zu beenden, um den Zugriff auf das Konto nicht zu verlieren. Die Spezialisten von Group-IB haben das Telegram-Team über ihre Untersuchung der Situation informiert.

Die Untersuchung der Vorfälle dauert an, und bisher ist nicht genau festgestellt worden, welches Schema verwendet wurde, um den SMS-Faktor zu umgehen. Zu verschiedenen Zeitpunkten haben Forscher Beispiele für das Abfangen von SMS durch Angriffe auf die SS7- oder Diameter-Protokolle, die in Mobilfunknetzen verwendet werden, angeführt. Theoretisch können solche Angriffe durch illegalen Einsatz spezieller technischer Mittel oder Insiderwissen bei Mobilfunkanbietern realisiert werden. Insbesondere gibt es auf Hackerforen im Darknet aktuelle Angebote zum Hacken verschiedener Messenger, einschließlich Telegram.

„Experten aus verschiedenen Ländern, darunter auch Russland, haben wiederholt erklärt, dass soziale Netzwerke, Mobile Banking und Messenger durch eine Schwachstelle im SS7-Protokoll gehackt werden können. Allerdings handelte es sich dabei um Einzelfälle gezielter Angriffe oder experimenteller Forschungen“, kommentiert Sergey Lupanin, Leiter der Abteilung für Cybercrime-Ermittlungen bei Group-IB. „In einer Reihe neuer Vorfälle, von denen es bereits mehr als 10 gibt, ist das offensichtliche Bestreben der Angreifer erkennbar, dieses Verdienstschema zur Routine zu machen. Um dies zu verhindern, ist es notwendig, das eigene Niveau der digitalen Hygiene zu erhöhen: mindestens überall dort, wo es möglich ist, die Zwei-Faktor-Authentifizierung zu verwenden und einen obligatorischen zweiten Faktor zu den SMS hinzuzufügen, was funktional im gleichen Telegram etabliert ist.“

Wie kann man sich schützen?

1. Telegram hat bereits alle erforderlichen Optionen für Cybersicherheit implementiert, die die Bemühungen der Angreifer zunichte machen.
2. Auf iOS- und Android-Geräten für Telegram müssen Sie die Einstellungen von Telegram aufrufen, die Registerkarte „Datenschutz“ auswählen und „Cloud-Passwort Zwei-Faktor-Authentifizierung“ oder „Two-Step Verification“ festlegen. Eine detaillierte Beschreibung zur Aktivierung dieser Option finden Sie in der Anleitung auf der offiziellen Website des Messengers: telegram.org/blog/sessions-and-2-step-verification (https://telegram.org/blog/sessions-and-2-step-verification)

3. Es ist wichtig, keine E-Mail-Adresse zur Wiederherstellung dieses Passworts festzulegen, da die Wiederherstellung des E-Mail-Passworts in der Regel ebenfalls über SMS erfolgt. Auf ähnliche Weise kann der Schutz des Kontos in WhatsApp erhöht werden.

Quelle: habr.com