Alla fine del 2019, alcuni imprenditori russi si sono rivolti al dipartimento di indagine sui crimini informatici di Group-IB, dopo aver riscontrato problemi di accesso non autorizzato alle loro conversazioni su Telegram. Gli incidenti si sono verificati su dispositivi iOS e Android, indipendentemente dal gestore di telefonia mobile utilizzato dalla vittima.
L'attacco iniziava quando l'utente riceveva un messaggio da un canale di servizio di Telegram (il canale ufficiale con il segno di spunta blu di verifica) contenente un codice di conferma che non era stato richiesto. Dopo di ciò, sullo smartphone della vittima arrivava un SMS con un codice di attivazione — e praticamente immediatamente al canale di servizio Telegram veniva inviato un avviso di accesso all'account da un nuovo dispositivo.
In tutti i casi noti a Group-IB, i malintenzionati accedevano a conti altrui attraverso la rete mobile (probabilmente utilizzando SIM card usa e getta), e l'indirizzo IP degli attaccanti si trovava nella maggior parte dei casi a Samara.
Accesso su richiesta
Un'analisi del laboratorio di informatica forense di Group-IB, dove sono stati consegnati i dispositivi elettronici delle vittime, ha rivelato che le apparecchiature non erano infettate da spyware o trojan bancari, e che gli account non erano stati violati e non era stata effettuata la sostituzione della SIM. In tutti i casi, i malintenzionati accedevano al messaggero della vittima utilizzando i codici SMS ricevuti al momento dell'accesso da un nuovo dispositivo.
Questa procedura è la seguente: quando si attiva il messaggero su un nuovo dispositivo, Telegram invia un codice tramite il canale di servizio su tutti i dispositivi dell'utente e poi (su richiesta) un SMS al telefono. Sapendo ciò, i malintenzionati avviano autonomamente la richiesta per il messaggero di inviare un SMS con il codice di attivazione, intercettano questo SMS e utilizzano il codice ricevuto per l'autenticazione con successo nel messaggero.
In questo modo, gli attaccanti ottengono accesso illegale a tutte le chat attuali, tranne quelle segrete, e anche alla cronologia delle conversazioni in queste chat, inclusi file e fotografie che sono stati inviati. Riconoscendo ciò, l'utente legittimo di Telegram può terminare forzatamente la sessione dell'attaccante. Grazie al meccanismo di protezione implementato, non può avvenire il contrario: l'attaccante non può terminare le sessioni più vecchie dell'utente reale entro 24 ore. È quindi fondamentale individuare tempestivamente una sessione estranea e terminarla, per non perdere l'accesso all'account. Gli specialisti di Group-IB hanno notificato al team di Telegram riguardo alla loro ricerca della situazione.
Lo studio degli incidenti continua e attualmente non è stato determinato con certezza quale schema sia stato utilizzato per eludere il fattore SMS. In momenti diversi, i ricercatori hanno citato esempi di intercettazione degli SMS tramite attacchi ai protocolli SS7 o Diameter, utilizzati nelle reti mobili. Teoricamente, tali attacchi possono essere realizzati con l'uso illegale di strumenti tecnici speciali o con insider presso gli operatori di telefonia mobile. In particolare, sui forum hacker nel Darknet ci sono nuovi annunci con offerte di hacking di vari messaggeri, incluso Telegram.
«Specialisti di diversi paesi, comprese le Russia, hanno ripetutamente dichiarato che i social network, il mobile banking e i messaggeri possono essere hackerati grazie a vulnerabilità nel protocollo SS7, tuttavia si trattava di casi isolati di attacchi mirati o ricerche sperimentali, — commenta Sergey Lupanin, capo del dipartimento di indagini sui crimini informatici di Group-IB, — Nella serie di nuovi incidenti, già più di 10, è evidente la volontà degli attaccanti di rendere questo metodo di guadagno una prassi comune. Per evitare che ciò accada, è necessario migliorare il proprio livello di igiene digitale: usare almeno l'autenticazione a due fattori ovunque sia possibile e aggiungere un secondo fattore obbligatorio agli SMS, come funzionalmente previsto anche in Telegram».
Come proteggersi?
1. In Telegram sono già state implementate tutte le opzioni necessarie per la cybersicurezza, che neutralizzeranno gli sforzi degli attaccanti.
2. Su dispositivi iOS e Android per Telegram, è necessario andare nelle impostazioni di Telegram, selezionare la scheda "Privacy" e impostare "Cloud Password: Verifica a due passaggi" o "Two-step verification". Una descrizione dettagliata per attivare questa opzione è fornita nelle istruzioni sul sito ufficiale del messaggero: (https://telegram.org/blog/sessions-and-2-step-verification)
3. È importante non impostare un indirizzo email per il recupero di questa password, poiché generalmente il recupero della password email avviene anche tramite SMS. Allo stesso modo, è possibile migliorare la sicurezza dell'account su WhatsApp.
Fonte: habr.com
