Вечером 13 ноября в Telegram прекратили работу интерактивные HTML-сообщения (виджеты). На это обратил внимание канал Telegram Info.
Авторы канала предположили, что разработчики платформы экстренно отключили функцию на стороне сервера. Причиной могли стать уязвимости, выявленные исследователями и сообществом после запуска виджетов.
По словам экспертов в сфере информационной безопасности, речь идет об уязвимостях в механизме исполнения кода JavaScript, обеспечивающего функционал интерактивных сообщений.
Согласно данным на сайте Telegram, виджеты работают на базе движка QuickJS в изолированной «песочнице» без доступа к интернету и с ограниченным функционалом. Виджет может посылать запросы и получать ответы только через Telegram-боты.
Однако 11 ноября исследователи из V12 сообщили о возможности запуска любого кода через виджет. К сообщению прилагается видео запуска калькулятора на смартфоне с Android после открытия бота с виджетом.
«Любое сообщение Telegram может стать удаленно запускаемым кодом», — отметили в V12, перефразировав анонс новой функции от Павла Дурова: «Любое сообщение Telegram может стать приложением».
Telegram Info отмечал риски безопасности, связанные с интеграцией в чаты исполняемого JavaScript, еще в октябре. Тогда функция интерактивных HTML впервые появилась в тестовых сборках приложения.
Сооснователь и руководитель Telegram Павел Дуров в своем блоге назвал проблему с уязвимостью в механизмах, связанных с виджетами, «несуществующей». По его словам, «никто не мог быть взломан, просто получив сообщение».
«Нужно было сначала запустить сторонний сервис. [Однако] даже эта [опасность] сейчас полностью исправлена на стороне сервера», — отметил Дуров и предложил сомневающимся попытаться взломать свой аккаунт.
При этом российская компания «Лаборатория Касперского» заявила, что уязвимости в HTML-виджетах предположительно уже могли использоваться в недавних реальных атаках. С их слов, заражение происходило при посещении некоторых Telegram-каналов.
Через код в виджете запускался скрытый скрипт на базе PowerShell для загрузки трояна WebRAT (Salat Stealer). По словам специалистов, он позволяет злоумышленникам удаленно управлять устройством, красть данные криптокошельков и аккаунтов в мессенджере.
«Главная рекомендация на данный момент: не запускать виджеты в Telegram, пока не выйдет исправление», — добавили в Kaspersky.
По данным канала teleLakel, в одной из последних тестовых сборок Telegram для macOS появился защищенный режим (Lockdown Mode), призванный снизить связанные с кибератаками и вредоносным содержимым риски. В нем будут скрыты потенциально опасные виджеты, а для их загрузки потребуется подтверждение пользователя.
Защищенный режим также предусматривает:
- ограничение автоматической загрузки фото и видео;
- отключение предпросмотра ссылок и страниц в режиме Instant View;
- предупреждения при загрузке и открытии потенциально опасных файлов;
- подтверждения при запуске мини-приложений;
- блокировку всех платежных страниц в Telegram.
Включить защищенный режим можно будет через меню настроек в разделе «Конфиденциальность и безопасность».
Ранее Spot писал, что в Telegram может появиться возможность отправлять истории с компьютера.
