Alla fine del 2019, diversi imprenditori russi si sono rivolti al dipartimento di indagini sui crimini informatici di Group-IB, affrontando il problema dell'accesso non autorizzato da parte di sconosciuti alla loro corrispondenza nel messenger Telegram. Gli incidenti si sono verificati su dispositivi iOS e Android, indipendentemente dall'operatore di telefonia mobile del quale il soggetto colpito era cliente.
L'attacco iniziava con un messaggio ricevuto nel messenger Telegram dall'account di servizio Telegram (questo è il canale ufficiale del messenger con il segno di spunta blu di verifica) contenente un codice di conferma che l'utente non aveva richiesto. Successivamente, sullo smartphone della vittima arrivava un SMS con un codice di attivazione — e praticamente immediatamente, nel canale di servizio di Telegram, arrivava una notifica riguardo l'accesso dell'account da un nuovo dispositivo.
In tutti i casi noti a Group-IB, i malintenzionati accedevano all'account di qualcun altro tramite internet mobile (probabilmente venivano utilizzate schede SIM usa e getta), e l'indirizzo IP degli attaccanti si trovava, nella maggior parte dei casi, a Samara.
Accesso su richiesta
Uno studio del Laboratorio di Informatica Forense di Group-IB, al quale sono stati consegnati i dispositivi elettronici delle vittime, ha dimostrato che la tecnologia non era infettata da spyware o trojan bancari, gli account non erano stati compromessi e non sono state eseguite sostituzioni di schede SIM. In tutti i casi, i malintenzionati ottenevano accesso al messenger della vittima tramite codici SMS ricevuti all'accesso dell'account da un nuovo dispositivo.
Questa procedura si svolge come segue: durante l'attivazione del messenger su un nuovo dispositivo, Telegram invia un codice tramite il canale di servizio a tutti i dispositivi dell'utente e poi (su richiesta) il codice arriva tramite SMS al telefono. Sapendo ciò, i malintenzionati iniziano autonomamente la richiesta di invio del messaggio SMS con il codice di attivazione, intercettano questo SMS e utilizzano il codice ricevuto per una corretta autenticazione nel messenger.
In questo modo, gli aggressori ottengono accesso illegale a tutte le chat in corso, eccetto quelle segrete, nonché alla cronologia delle conversazioni in queste chat, incluse le file e le fotografie scambiate. Scoprendo ciò, un utente legittimo di Telegram può forzare la chiusura della sessione dell'intruso. Grazie al meccanismo di protezione implementato, non può accadere il contrario: l'intruso non può chiudere sessioni più vecchie dell'utente reale entro 24 ore. Pertanto, è importante individuare tempestivamente una sessione sospetta e terminarla, per non perdere l'accesso all'account. Gli esperti di Group-IB hanno inviato una notifica al team di Telegram riguardo alla loro indagine sulla situazione.
L'analisi degli incidenti è in corso e al momento non è chiaro quale schema sia stato utilizzato per bypassare il fattore SMS. In diverse occasioni, i ricercatori hanno presentato esempi di intercettazione degli SMS tramite attacchi ai protocolli SS7 o Diameter, utilizzati nelle reti mobili. Teoricamente, tali attacchi potrebbero essere realizzati con l'uso illegale di strumenti tecnici speciali o all'interno degli operatori di telefonia mobile. In particolare, sui forum hacker nel Dark Web ci sono nuovi annunci con proposte di hacking di vari messaggeri, incluso Telegram.
«Esperti di diversi paesi, compresa la Russia, hanno più volte dichiarato che i social network, il mobile banking e i messaggeri possono essere violati grazie a vulnerabilità nel protocollo SS7; tuttavia, si sono trattati di singoli casi di attacchi mirati o ricerche sperimentali», commenta Sergey Lupanin, direttore del dipartimento di indagini sui crimini informatici di Group-IB. «In una serie di nuovi incidenti, di cui già più di 10, è evidente la volontà degli aggressori di rendere questo metodo di guadagno sistematico. Affinché ciò non accada, è fondamentale migliorare il proprio livello di igiene digitale: almeno utilizzare l'autenticazione a due fattori ovunque sia possibile e aggiungere un secondo fattore obbligatorio agli SMS, ciò che è funzionalmente incluso nello stesso Telegram».
Come proteggersi?
1. In Telegram sono già disponibili tutte le opzioni necessarie per la sicurezza informatica, che ridurranno al minimo gli sforzi degli aggressori.
2. Su dispositivi iOS e Android per Telegram è necessario andare nelle impostazioni di Telegram, selezionare la scheda «Privacy» e impostare «Password cloudVerifica in due passaggi» o «Two step verification». Una descrizione dettagliata su come attivare questa opzione è disponibile nelle istruzioni sul sito ufficiale del messenger: (https://telegram.org/blog/sessions-and-2-step-verification)
3. È importante non impostare un indirizzo email per il ripristino di questa password, poiché in genere anche il ripristino della password dell'email avviene tramite SMS. Analogamente, è possibile aumentare la protezione dell'account su WhatsApp.
Fonte: habr.com
