«Лаборатория Касперского» зафиксировала атаки через Telegram-виджеты с загрузкой трояна WebRAT
«Лаборатория Касперского» зафиксировала реальные атаки, предположительно связанные с уязвимостью новых HTML-виджетов Telegram. По данным компании, при посещении некоторых Telegram-каналов на компьютерах пользователей незаметно запускался PowerShell-скрипт, который скачивал троян WebRAT (Salat Stealer). Вредоносное ПО позволяет злоумышленникам удалённо управлять заражённой системой, а также красть данные криптокошельков и аккаунтов Telegram. Первые попытки подобных атак специалисты «Лаборатории Касперского» обнаружили в ночь на 13 ноября. Об этом сообщает «Код Дурова».
«Эксперты «Лаборатории Касперского» фиксируют вредоносную активность, предположительно связанную с данной уязвимостью, которая эксплуатировалась при посещении некоторых Telegram-каналов. В результате этой активности незаметно для пользователя запускается PowerShell-скрипт, который скачивает и запускает известное ВПО WebRAT (Salat Stealer), написанное на Rust. Этот троян позволяет злоумышленником управлять зараженной системой. Также он способен красть данные криптокошельков и аккаунтов в Telegram. Мы уже подробно его разбирали в материале на Securelist».
Новые данные появились вскоре после того, как Павел Дуров* прокомментировал сообщения об уязвимостях Telegram-виджетов. Он утверждал, что проблема с удалённым выполнением кода «не существует» и получить контроль над устройством просто после получения сообщения невозможно. По словам Дурова, для показанной ранее атаки пользователю сначала требовалось самостоятельно запустить сторонний сервис. Он также заявил, что даже этот сценарий Telegram уже полностью заблокировал на стороне сервера.
После второй демонстрации взлома от V12 Telegram отключил виджеты на сервере. Ранее исследователи действительно демонстрировали выполнение произвольного кода через Telegram Widgets. В Telegram Desktop специально сформированный виджет позволял запустить на компьютере системный «Калькулятор». Подробнее об этой истории «Код.ру» рассказывал ранее.
Уязвимость в виджетах Telegram оказалась мультиплатформенной. Ошибка в QuickJS позволяла скрипту виджета выполнить код на Android. Telegram исправил её в версии 13.2.2.
Теперь «Лаборатория Касперского» сообщает уже не о лабораторной демонстрации, а о зафиксированной вредоносной активности. При этом компания осторожно называет связь атак именно с уязвимостью виджетов предположительной — технические детали эксплуатации пока не опубликованы.
WebRAT написан на Rust и известен специалистам по безопасности как троян удалённого доступа. Он способен похищать данные, перехватывать управление заражённым компьютером и красть учётные записи.
До выхода исправления «Лаборатория Касперского» рекомендует пользователям не запускать виджеты в Telegram. Антивирусные решения компании уже обнаруживают и блокируют WebRAT.
*Внесен в список террористов и экстремистов
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
