No final de 2019, vários empresários russos procuraram o departamento de investigações de crimes cibernéticos da Group-IB, enfrentando o problema de acesso não autorizado de desconhecidos às suas mensagens no mensageiro Telegram. Os incidentes ocorreram em dispositivos iOS e Android, independentemente do operador de telefonia móvel do qual o afetado era cliente.
O ataque começava com uma mensagem que chegava ao usuário no mensageiro Telegram de um canal de serviço do Telegram (este é o canal oficial do mensageiro com o selo de verificação azul) com um código de confirmação que o usuário não havia solicitado. Após isso, um SMS com um código de ativação chegava ao smartphone da vítima — e praticamente imediatamente o canal de serviço do Telegram recebia uma notificação de que a conta havia sido acessada de um novo dispositivo.
Em todos os casos conhecidos pela Group-IB, os criminosos acessaram a conta alheia através da internet móvel (provavelmente, utilizando cartões SIM descartáveis), e o endereço IP dos atacantes na maioria das vezes estava localizado em Samara.
Acesso sob encomenda
Uma pesquisa do Laboratório de Computação Forense da Group-IB, que recebeu os dispositivos eletrônicos das vítimas, mostrou que os equipamentos não estavam infectados com software malicioso espião ou trojans bancários, as contas não foram hackeadas, e não houve troca de SIM card. Em todos os casos, os criminosos obtiveram acesso ao mensageiro da vítima usando códigos SMS, recebidos ao entrar na conta de um novo dispositivo.
Esse procedimento funciona da seguinte maneira: ao ativar o mensageiro em um novo dispositivo, o Telegram envia um código através do canal de serviço para todos os dispositivos do usuário e, depois (a pedido), o SMS é enviado para o telefone. Sabendo disso, os criminosos iniciam o pedido de envio do SMS com o código de ativação pelo mensageiro, interceptam esse SMS e utilizam o código recebido para autorizar com sucesso no mensageiro.
Assim, os atacantes conseguem acessar ilegalmente todos os chats atuais, exceto os secretos, além do histórico de mensagens nesses chats, incluindo arquivos e fotos que foram enviados. Ao descobrir isso, um usuário legítimo do Telegram pode forçar o encerramento da sessão do invasor. Graças ao mecanismo de proteção implementado, o inverso não pode ocorrer; o invasor não pode encerrar sessões mais antigas do usuário legítimo dentro de um período de 24 horas. Portanto, é importante detectar a sessão suspeita a tempo e encerrá-la para não perder o acesso à conta. Especialistas da Group-IB notificaram a equipe do Telegram sobre sua pesquisa sobre a situação.
A investigação dos incidentes continua e, até o momento, não está claro qual esquema foi utilizado para circumvencionar o fator de SMS. Em diferentes momentos, pesquisadores apresentaram exemplos de interceptação de SMS por meio de ataques aos protocolos SS7 ou Diameter, usados em redes móveis. Teoricamente, esses ataques podem ser realizados com o uso ilegal de equipamentos especializados ou infiltrações em operadoras de celular. Em particular, em fóruns de hackers na dark web, há anúncios recentes oferecendo serviços de hackeamento de vários mensageiros, incluindo o Telegram.
“Especialistas em diferentes países, incluindo a Rússia, já declararam diversas vezes que redes sociais, bancos móveis e mensageiros podem ser hackeados por meio de vulnerabilidades no protocolo SS7, no entanto, esses foram casos isolados de ataques direcionados ou pesquisas experimentais”, comenta Sergey Lupanin, chefe do departamento de investigações de crimes cibernéticos da Group-IB. “Na série de novos incidentes, que já ultrapassam 10, é evidente que há um desejo dos atacantes de transformar esse método de lucratividade em uma prática comum. Para que isso não aconteça, é necessário aumentar seu próprio nível de higiene digital: no mínimo, usar autenticação de dois fatores sempre que possível e adicionar um segundo fator obrigatório ao SMS, o que está funcionalmente incorporado no próprio Telegram.”
Como se proteger?
1. O Telegram já implementou todas as opções necessárias de cibersegurança que neutralizarão os esforços dos atacantes.
2. Em dispositivos iOS e Android para Telegram, é necessário acessar as configurações do Telegram, selecionar a aba 'Privacidade' e definir 'Senha em Nuvem' ou 'Verificação em Duas Etapas'. Uma descrição detalhada sobre como ativar essa opção está disponível nas instruções no site oficial do mensageiro: (https://telegram.org/blog/sessions-and-2-step-verification)
3. É importante não definir um endereço de e-mail para recuperar esta senha, pois, geralmente, a recuperação da senha do e-mail também ocorre por SMS. Da mesma forma, é possível aumentar a segurança da conta no WhatsApp.
Fonte: habr.com
