Ende 2019 wandten sich mehrere russische Unternehmer an die Abteilung für Cyberkriminalität von Group-IB, die mit dem Problem des unbefugten Zugriffs Unbekannter auf ihre Nachrichten im Messenger Telegram konfrontiert waren. Die Vorfälle traten sowohl auf iOS- als auch auf Android-Geräten auf, unabhängig davon, von welchem Mobilfunkanbieter der Betroffene Kunde war.
Der Angriff begann damit, dass der Nutzer eine Nachricht von dem offiziellen Telegram-Servicekanal (dies ist der offizielle Kanal des Messengers mit dem blauen Verifizierungshaken) mit einem Bestätigungscode erhielt, den der Nutzer nicht angefordert hatte. Danach erhielt das Smartphone des Opfers eine SMS mit einem Aktivierungscode – und praktisch sofort ging eine Benachrichtigung an den Servicekanal von Telegram, dass sich jemand mit einem neuen Gerät in den Account eingeloggt hatte.
In allen Fällen, die Group-IB bekannt sind, griffen die Angreifer über mobile Daten auf das Konto zu (vermutlich wurden Einweg-SIM-Karten verwendet), während sich die IP-Adresse der Angreifer in den meisten Fällen in Samara befand.
Zugriff auf Bestellung
Die Untersuchung des Labors für Computerkriminalität von Group-IB, wo die elektronischen Geräte der Opfer übergeben wurden, ergab, dass die Technik nicht mit Spionage-Malware oder Banking-Trojanern infiziert war, die Konten nicht gehackt wurden und es keine SIM-Kartenwechsel gab. In allen Fällen erhielten die Angreifer Zugang zum Messenger des Opfers über SMS-Codes, die beim Anmelden auf einem neuen Gerät empfangen wurden.
Der Ablauf ist folgender: Wenn der Messenger auf einem neuen Gerät aktiviert wird, sendet Telegram einen Code über den Servicekanal an alle Geräte des Nutzers und anschließend (auf Anfrage) erhält das Telefon eine SMS. In diesem Wissen initiieren die Angreifer selbst die Anfrage zum Versenden des SMS mit dem Aktivierungscode über den Messenger, fangen diese SMS ab und verwenden den erhaltenen Code für eine erfolgreiche Autorisierung im Messenger.
Angreifer erhalten somit unbefugten Zugriff auf alle aktuellen Chats, außer auf geheime, sowie auf den Verlauf der Gespräche in diesen Chats, einschließlich aller Dateien und Fotos, die darin gesendet wurden. Erkennt ein legitimer Telegram-Nutzer dies, kann er die Sitzung des Angreifers zwangsweise beenden. Dank des implementierten Schutzmechanismus kann das Gegenteil nicht geschehen; der Angreifer kann innerhalb von 24 Stunden ältere Sitzungen des tatsächlichen Nutzers nicht beenden. Daher ist es wichtig, eine fremde Sitzung rechtzeitig zu erkennen und sie zu beenden, um den Zugang zum Konto nicht zu verlieren. Die Spezialisten von Group-IB haben das Telegram-Team über ihre Untersuchung der Situation informiert.
Die Untersuchung des Vorfalls dauert an, und bisher ist nicht genau festgelegt, welches Schema verwendet wurde, um den SMS-Faktor zu umgehen. Forscher haben zu unterschiedlichen Zeiten Beispiele für das Abfangen von SMS durch Angriffe auf die Protokolle SS7 oder Diameter, die in mobilen Netzwerken verwendet werden, angeführt. Theoretisch könnten solche Angriffe durch den illegalen Einsatz spezieller technischer Mittel oder Insiderwissen bei Mobilfunkanbietern realisiert werden. Insbesondere erscheinen auf Hackerforen im Darknet aktuelle Angebote zum Hacken verschiedener Messenger, einschließlich Telegram.
„Experten aus verschiedenen Ländern, einschließlich Russland, haben wiederholt erklärt, dass soziale Netzwerke, mobiles Banking und Messenger über eine Schwachstelle im SS7-Protokoll gehackt werden können. Allerdings handelte es sich bisher um Einzelfälle gezielter Angriffe oder experimenteller Studien“, kommentiert Sergey Lupanin, Leiter der Abteilung für Cyberkriminalität bei Group-IB. „In einer Reihe neuer Vorfälle, von denen es bereits mehr als 10 gibt, zeigt sich eindeutig der Wunsch der Angreifer, diesen Gewinnmechanismus zu industrialisieren. Um dies zu verhindern, ist es notwendig, das eigene digitale Hygieneniveau zu erhöhen: mindestens überall dort, wo es möglich ist, die Zwei-Faktor-Authentifizierung zu nutzen und einen obligatorischen zweiten Faktor zu SMS hinzuzufügen, was funktional auch in Telegram integriert ist.“
Wie kann man sich schützen?
1. In Telegram sind bereits alle notwendigen Optionen für Cybersicherheit implementiert, die die Bemühungen der Angreifer vereiteln werden.
2. Auf iOS- und Android-Geräten für Telegram müssen Sie die Telegram-Einstellungen aufrufen, die Registerkarte "Datenschutz" auswählen und "Cloud-Passwort, Zwei-Faktor-Authentifizierung" oder "Two-Step-Verification" aktivieren. Eine detaillierte Beschreibung zur Aktivierung dieser Option finden Sie in den Anleitungen auf der offiziellen Website des Messengers: (https://telegram.org/blog/sessions-and-2-step-verification)
3. Es ist wichtig, keine E-Mail-Adresse für die Wiederherstellung dieses Passworts festzulegen, da die Wiederherstellung des Passworts für die E-Mail normalerweise auch über SMS erfolgt. Auf ähnliche Weise können Sie den Schutz Ihres Accounts in WhatsApp erhöhen.
Quelle: habr.com
