Угроза кибератак вынудила Telegram отключить HTML-виджеты

Вечером 13 ноября в Telegram прекратили работу интерактивные HTML-сообщения (виджеты).

На это обратил внимание канал Telegram Info.

Авторы канала предположили, что разработчики платформы экстренно отключили функцию на стороне сервера. Причиной могли стать уязвимости, выявленные исследователями и сообществом после запуска виджетов.

По словам экспертов в сфере информационной безопасности, речь идет об уязвимостях в механизме исполнения кода JavaScript, обеспечивающего функционал интерактивных сообщений.

Согласно данным на сайте Telegram, виджеты работают на базе движка QuickJS в изолированной «песочнице» без доступа к интернету и с ограниченным функционалом. Виджет может посылать запросы и получать ответы только через Telegram-боты.

Однако 11 ноября исследователи из V12 сообщили о возможности запуска любого кода через виджет. К сообщению прилагается видео запуска калькулятора на смартфоне с Android после открытия бота с виджетом.

«Любое сообщение Telegram может стать удаленно запускаемым кодом», — отметили в V12, перефразировав анонс новой функции от Павла Дурова: «Любое сообщение Telegram может стать приложением».

Telegram Info отмечал риски безопасности, связанные с интеграцией в чаты исполняемого JavaScript, еще в октябре. Тогда функция интерактивных HTML впервые появилась в тестовых сборках приложения.

Сооснователь и руководитель Telegram Павел Дуров в своем блоге назвал проблему с уязвимостью в механизмах, связанных с виджетами, «несуществующей». По его словам, «никто не мог быть взломан, просто получив сообщение».

«Нужно было сначала запустить сторонний сервис. [Однако] даже эта [опасность] сейчас полностью исправлена на стороне сервера», — отметил Дуров и предложил сомневающимся попытаться взломать свой аккаунт.

При этом российская компания «Лаборатория Касперского» заявила, что уязвимости в HTML-виджетах предположительно уже могли использоваться в недавних реальных атаках. С их слов, заражение происходило при посещении некоторых Telegram-каналов.

Через код в виджете запускался скрытый скрипт на базе PowerShell для загрузки трояна WebRAT (Salat Stealer). По словам специалистов, он позволяет злоумышленникам удаленно управлять устройством, красть данные криптокошельков и аккаунтов в мессенджере.

«Главная рекомендация на данный момент: не запускать виджеты в Telegram, пока не выйдет исправление», — добавили в Kaspersky.

По данным канала teleLakel, в одной из последних тестовых сборок Telegram для macOS появился защищенный режим (Lockdown Mode), призванный снизить связанные с кибератаками и вредоносным содержимым риски. В нем будут скрыты потенциально опасные виджеты, а для их загрузки потребуется подтверждение пользователя.

Защищенный режим также предусматривает:

• ограничение автоматической загрузки фото и видео;
• отключение предпросмотра ссылок и страниц в режиме Instant View;
• предупреждения при загрузке и открытии потенциально опасных файлов;
• подтверждения при запуске мини-приложений;
• блокировку всех платежных страниц в Telegram.

Включить защищенный режим можно будет через меню настроек в разделе «Конфиденциальность и безопасность».