Talos Intelligence, divizia de cercetare în domeniul securității a companiei Cisco, a descoperit un nou tip de malware care fură chei de criptare și date cache de pe varianta de desktop a aplicației de mesagerie Telegram. Vestea vine după ce atât guvernul rus cât și cel iranian au început să blocheze aplicația în țările lor.
Cercetătorii de la Talos au descoperit pentru prima oară malware-ul pe care l-au intitulat „Telegrab” pe 4 aprilie 2018, o a doua variantă apărând pe 10 aprilie. Prima versiune a furat acreditările și cookie-urile browserului, precum și toate fișierele text pe care le putea găsi în sistem. A doua variantă a fost modernizată pentru a fura fișierele de memorie cache ale Telegram și cheile de criptare, precum și acreditările de autentificare pentru site-ul Steam.
Cercetătorii de securitate au declarat că malware-ul vizează în primul rând utilizatorii ruși și încearcă în mod intenționat să evite adresele IP care utilizează servicii de anonimizare.
Malware-ul exploatează o defecțiune de proiectare a versiunii desktop a aplicației Telegram care nu acceptă conversațiile criptate end-to-end (aplicațiile mobile o acceptă opțional numai în modul „Chat secret”). Din acest motiv, nu are capacitatea de auto-logout, ceea ce înseamnă că programele malware pot avea acces la fișierele stocate de Telegram pe desktop.
Echipa Talos a avertizat că aplicațiile de mesagerie care folosesc criptare dar cu setările implicite bifate greșit, cum ar fi versiunea desktop a Telegram, pot pune în pericol confidențialitatea și securitatea utilizatorilor. Cercetătorii au spus, de asemenea, că malware-ul nu este chiar atât de sofisticat, dar că este eficient. De exemplu, nu are persistență pe mașina utilizatorului, așa că va dispărea la primul restart.
Chiar și așa, programatorii malware-ului au reușit să fure mii de acreditări în mai puțin de o lună. Aceste acreditări pot fi, de asemenea, folosite de atacatori pentru a se conecta la alte servicii online, dacă utilizatorii au reutilizat aceleași parole și în altă parte (din păcate, o practică des întâlnită).
Până când Telegram își va implementa propriile mecanisme de protecție împotriva acestui tip de malware care fură datele utilizatorilor, este posibil să fiți nevoit să vă bazați pe programe anti-virus care pot detecta acest tip de malware pentru a-l bloca.
