Kuidas kurjategijad saavad lugeda teie vestlusi Telegramis. Ja kuidas neid selleks takistada

2019. aasta lõpus pöördusid Group-IB küberkuritegude uurimise osakonda mitmed Venemaa ettevõtjad, kes seisid silmitsi probleemiga, et tundmatud isikud pääsesid ligi nende vestlusele messengeri Telegram. Sündmused toimusid iOS- ja Android-seadmetes, olenemata sellest, kelle mobiilsideoperaatori klient olid kannatanud.

Rünnak algas sellega, et messengeri Telegram kasutajale saadeti sõnum teenuskanalilt Telegram (see on ametlik messengeri kanal sinise kontrollmärgiga) koos kinnituskoodiga, mida kasutaja ei olnud küsinud. Pärast seda sai ohver oma nutitelefonile SMS-i aktivatsioonikoodiga — ja praktiliselt kohe pärast seda jõudis teenuskanalisse Telegram teatamine, et kontole pääseti ligi uuest seadmest.

Kõigil juhtudel, millest Group-IB-l on teavet, pääsesid kurjategijad teise konto juurde mobiilse interneti kaudu (tõenäoliselt kasutati ühekordseid SIM-kaarte), ja ründajate IP-aadress asus enamasti Samarast.

Ligipääs tellimisel

Group-IB arvutite kriminaalistikauuringute labori uuring, kuhu viidi kannatanu elektroonilised seadmed, näitas, et seadmed ei olnud nakatunud nuhkvara või pangatroojani, kasutajakontod ei olnud häkitud, SIM-kaardi asendamist ei toimunud. Kõigil juhtudel said kurjategijad pääsu ohvri messengeri juurde, kasutades sisestamisel saadud SMS-koodide kaudu, kui nad pääsesid kontole uuest seadmest.

See protseduur näeb välja selline: messengeri aktiveerimisel uues seadmes saadab Telegram koodi kõikidele kasutaja seadmetele ja seejärel (soovi korral) saadetakse SMS-sõnum telefonile. Teades seda, kurjategijad algatavad ise sõnumi saatmise palvel SMS-koodi, püüavad selle SMS-i kinni ja kasutavad saadud koodi messengeri edukaks autoriseerimiseks.

Seega saavad ründajad ebaseadusliku juurdepääsu kõikidele aktiivsetele vestlustele, välja arvatud salajased vestlused, samuti neis vestlustes peetava kirjavahetuse ajaloole, sealhulgas failidele ja fotodele, mis on saadetud. Kui seaduslik Telegrami kasutaja avastab selle, saab ta koheselt lõpetada ründaja seansi. Ellu viidud kaitsemehhanismi tõttu ei saa see toimuda vastupidiselt, ründaja ei saa lõpetada seadusliku kasutaja vanemaid seansse 24 tunni jooksul. Seetõttu on oluline õigel ajal tuvastada kõrvaline seanss ja see lõpetada, et mitte kaotada juurdepääsu kontole. Group-IB spetsialistid saatsid Telegrami meeskonnale teate oma uurimistööst.

Incidents are still being studied, and at this point, it has not been definitively established which specific scheme was used to bypass the SMS factor. Researchers have previously provided examples of SMS interception through attacks on SS7 or Diameter protocols used in mobile networks. Theoretically, such attacks could be carried out through the illegal use of special technical means or insider knowledge within mobile operators. In particular, hacker forums on the Darknet have fresh announcements with offers to hack various messengers, including Telegram.

„Spetsialistid erinevates riikides, sealhulgas Venemaal, on korduvalt teatanud, et sotsiaalmeediat, mobiilipangandust ja messengereid saab häkkida SS7 protokolli haavatavuste kaudu, kuid need on olnud üksikud sihtotstarbelised rünnakud või eksperimentaalsed uuringud,“ kommenteerib Sergey Lupanin, Group-IB küberkuritegevuse uurimise osakonna juht. „Uute intsidentide seerias, mida on juba rohkem kui 10, on ilmselge ründajate soov muuta see teenimisviis regulaarseks. Selle vältimiseks on oluline tõsta isiklikku digitaalset hügieeni: vähemalt kasutada igal pool, kus võimalik, kahefaktorilist autentimist ja lisada SMS-ile kohustuslik teine faktor, nagu on ette nähtud Telegramis.“

Kuidas end kaitsta?

1. Telegramis on juba ellu viidud kõik vajalikud küberjulgeoleku võimalused, mis vähendavad ründajate pingutusi nullini.
2. iOS ja Android seadmetes tuleb Telegrami seadetes liikuda privaatsuse vahekaardile ja seadistada "Pilveparool" või "Kahefaktoriline autentimine". Detailne juhend selle valiku lubamiseks on esitatud messengeri ametlikul veebilehel: telegram.org/blog/sessions-and-2-step-verification (https://telegram.org/blog/sessions-and-2-step-verification)

3. On oluline, et te ei seadistaks selle parooli taastamiseks e-posti aadressi, kuna tavaliselt tehakse e-posti parooli taastamine samuti SMSi kaudu. Samasuguste meetoditega on võimalik suurendada konto kaitset ka WhatsAppis.

Allikas: habr.com