Telegram отключил HTML-виджеты после демонстрации уязвимости и тестирует Lockdown Mode
В Telegram отключили отправку HTML-виджетов после того, как исследователи продемонстрировали возможности для взлома через новую функцию. HTML-виджеты появились в Telegram 5 ноября, а с 9 ноября доступ к их отправке развернули для всех ботов. Однако уже 11 ноября исследователи V12 показали на видео уязвимость: пользователь Android нажимает «Старт» в чате с ботом, получает виджет, и на смартфоне самостоятельно открывается «Калькулятор». Это пример удалённого выполнения кода (RCE). 13 ноября в V12 показали то же самое, но уже на Telegram Desktop 7.4.3, что указывает на мультиплатформенный характер уязвимости. Исследователи считают, что дело не в отдельных ошибках, а в самой функции: запуск QuickJS внутри сообщений сильно расширяет поверхность атаки. Об этом сообщает Rozetked.
«В ответ на сообщения исследователей Павел Дуров* заявил, что взломать пользователя одним присланным сообщением нельзя. Однако вместе с этим Telegram всё же отключил отправку HTML-виджетов. Боты больше не могут присылать новые виджеты, но те, что уже находятся в переписке, продолжают работать», — пишет Rozetked.
Вскоре после этого в «Лаборатории Касперского» рассказали, что зафиксировали реальные атаки, предположительно связанные с новыми уязвимостями Telegram. В результате активности незаметно для пользователя запускается PowerShell-скрипт, который скачивает и запускает известное вредоносное ПО WebRAT (Salat Stealer). Троян позволяет злоумышленникам управлять заражённой системой, а также красть данные криптокошельков и аккаунтов в Telegram. «Главная рекомендация на данный момент: не запускать виджеты в Telegram, пока не выйдет исправление», — говорится в Telegram-канале «Лаборатории Касперского».
Кроме того, Telegram начал тестировать опциональный режим для защиты от целевых атак — Lockdown Mode. Он появился в бета-версии Telegram для macOS (v13.2, сборка 283493). Этот режим скрывает HTML-виджеты и потенциально опасные стикеры до подтверждения, автоматически грузит только фото от контактов, отключает превью ссылок, просит подтверждать запуск мини-приложений и чаты с незнакомцами и блокирует оплату.
*Внесен в список террористов и экстремистов
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
