Tin tặc khai thác lỗ hổng zero-day trên 'Telegram Messenger' để lây lan mã độc

Các lỗ hổng Telegram đã được phát hiện bởi nhà nghiên cứu bảo mật Alexey Firsh từ Kaspersky Lab vào tháng 10 năm ngoái và chỉ ảnh hưởng đến khách hàng Windows của phần mềm Telegram.

Lỗ hổng này đã bị khai thác ít nhất là vào tháng 3 năm 2017 bởi những kẻ tấn công, kẻ đã lừa những nạn nhân để tải phần mềm độc hại vào máy tính của họ để sử dụng sức mạnh của CPU để đào tiền ảo hoặc dùng làm backdoor cho kẻ tấn công điều khiển từ xa máy bị ảnh hưởng, theo một bài đăng trên Securelist.

Cách lỗ hổng này được khai thác

Lỗ hổng này nằm trong cách Telegram Windows client xử lý ký tự Unicode RLO (từ phải sang trái), được sử dụng cho mã hóa các ngôn ngữ được viết từ phải sang trái, như tiếng Ả Rập hoặc Hebrew.

Theo Kaspersky Lab, người sáng tạo phần mềm độc hại đã sử dụng một ký tự RLO Unicode ẩn trong tên tệp đã đảo ngược thứ tự của các ký tự, do đó tự đổi tên tập tin và gửi cho người dùng Telegram.

Ví dụ: khi kẻ tấn công gửi tệp tin có tên "photo_high_re*U 202E*gnp.js" trong một tin nhắn tới người dùng Telegram, tên tệp được hiển thị trên màn hình của người dùng đã được đảo ngược phần cuối cùng.

Do đó, người dùng Telegram sẽ thấy một tệp tin hình ảnh PNG sắp tới (như hình ảnh bên trên) thay vì tệp JavaScript, gây nhầm lẫn trong việc tải các tệp độc hại ngụy trang dưới dạng ảnh.

"Kết quả là, người dùng đã tải xuống phần mềm độc hại ẩn, sau đó đã được cài đặt trên máy tính của họ", Kaspersky phát biểu trong thông cáo báo chí công bố ngày hôm nay.

Kaspersky Lab báo cáo lỗ hổng của Telegram và công ty này đã vá lỗ hổng trong các sản phẩm của mình, như công ty an ninh Nga cho biết: "Vào thời điểm công bố, lỗ hổng zero-day đã không còn ảnh hưởng đến sản phẩm Telegram".

Tin tặc đã sử dụng Telegram để lây nhiễm máy tính cá nhân với mã độc đào tiền ảo

Trong quá trình phân tích, các nhà nghiên cứu của Kaspersky đã phát hiện ra một số kịch bản khai thác zero-day bởi các tác nhân đe dọa. Trước tiên, lỗ hổng này đã được khai thác chủ yếu để phát tán phần mềm độc hại khai thác tiền ảo, sử dụng sức mạnh máy tính cá nhân của nạn nhân để khai thác các loại tiền ảo khác nhau bao gồm Monero, Zcash, Fantomcoin và những thứ khác.

Trong khi phân tích các máy chủ điều khiển mã độc, các nhà nghiên cứu cũng tìm thấy các kho lưu trữ chứa bộ nhớ cache cục bộ của Telegram đã bị đánh cắp từ nạn nhân.

Trong một trường hợp khác, bọn tội phạm trực tuyến đã khai thác thành công lỗ hổng để cài đặt một trojan backdoor sử dụng Telegram API làm giao thức lệnh và kiểm soát, cho phép tin tặc truy cập từ xa vào máy tính của nạn nhân.

"Sau khi cài đặt, nó bắt đầu hoạt động ở chế độ im lặng, cho phép các mã độc không bị chú ý trong mạng và thực hiện các lệnh khác nhau bao gồm cả việc cài đặt thêm các công cụ phần mềm gián điệp", công ty bổ sung.

Firsh tin rằng lỗ hổng zero-day đã bị các tội phạm mạng khai thác đều xảy ra ở Nga và rất nhiều bằng chứng chỉ ra đối với tội phạm mạng Nga. Cách tốt nhất để tự bảo vệ mình khỏi các cuộc tấn công như vậy là không tải xuống hoặc mở tệp từ các nguồn không xác định hoặc không đáng tin cậy.

Công ty bảo mật cũng khuyến cáo người dùng tránh chia sẻ bất kỳ thông tin cá nhân nhạy cảm nào trong ứng dụng nhắn tin và đảm bảo có một phần mềm chống vi-rút tốt từ công ty đáng tin cậy được cài đặt trên hệ thống của bạn.

Theo TheHackerNews