صدر تحذير عاجل في 13 نوفمبر بعد الإبلاغ عن ثغرة في تيليجرام على أندرويد، قد تعرّض التطبيقات الأخرى على جهاز مخترق لخطر كبير.
جاء التحذير بعد أن أظهرت شركة الأمن V12 رسالة من بوت تفتح تطبيق الآلة الحاسبة على الهاتف من تلقاء نفسها. وهذا دليل كلاسيكي على تنفيذ التعليمات البرمجية عن بُعد (RCE) - أي أن يجعل شخص من خارج الجهاز جهازك ينفّذ أوامر لا ينبغي له تنفيذها.
ما الذي حدث فعلًا؟
1. في 9 نوفمبر - أطلق تيليجرام الأدوات المصغّرة
أتاح تيليجرام للبوتات إرسال «أدوات مصغّرة» - تطبيقات صغيرة داخل رسالة دردشة. تخيّل ألعابًا واستطلاعات رأي وتطبيقات مصغّرة ومدفوعات بعملة Gram $TON عبر محفظة تيليجرام ذاتية الحفظ.
2. في 11 نوفمبر - العرض التوضيحي الذي صدم الجميع
نشر V12 مقطع فيديو يُظهر رسالة من روبوت تفتح تطبيق الآلة الحاسبة على أندرويد من تلقاء نفسها. لم ينشر V12 طريقة عمل الهجوم، ولم تؤكده أي جهة مستقلة حتى الآن.
تشير التقارير إلى وجود خطأ في الذاكرة بمحرك الأدوات المصغّرة في تيليجرام، إذ قد تؤدي دالة JavaScript مُعدّة بشكل خاطئ إلى إفساد الذاكرة وتمكين أداة مصغّرة من تجاوز بيئة العزل الخاصة بها.
3. من 11 إلى 13 نوفمبر - تيليجرام يقول إن المشكلة أُصلحت
قال تيليجرام إن المشكلة في تيليجرام لأندرويد قد أُصلحت، وإن الإصلاح نُشر لجميع المستخدمين. وأُدرج الإصلاح في تيليجرام لأندرويد 13.2.2، حيث نُقل رمز الأدوات المصغّرة إلى عملية منفصلة ومعزولة.
لكن الإصلاح لن يحميك إلا إذا ثبّتَّه. ولهذا كان التحذير عاجلًا.
كيف يؤثر هذا في أمنك؟
يظن معظم الناس: «إنه مجرد تيليجرام، فأموالي موجودة في منصة التداول».
الأمر لا يسير بهذه الطريقة.
1. اختراق الجهاز = اختراق التطبيقات
بمجرد أن يتمكن المهاجم من تشغيل التعليمات البرمجية على هاتفك، لن يعود محصورًا بتيليجرام. نظريًا، يمكنه محاولة:
- قراءة رموز الجلسات التي تُبقيك مسجلًا الدخول إلى التطبيقات. المصادقة الثنائية لا تحمي جلسة مفتوحة بالفعل
- الوصول إلى الملفات والصور والحافظة، حيث لا يزال كثيرون يخزّنون عبارات الاسترداد
- سرقة البيانات من التطبيقات الأخرى على الجهاز نفسه
2. مستخدمو العملات الرقمية هدف مثالي
تيليجرام هو مركز عالم العملات الرقمية: مجموعات التداول، وروبوتات الإسقاطات الجوية، وبائعو التداول بين الأفراد، وروبوتات «الدعم». يعرف المهاجمون أن مستخدمي العملات الرقمية سيضغطون على «ابدأ» في روبوت. وفي العرض التوضيحي لـ V12، كان على المستخدم الضغط على «ابدأ» في محادثة الروبوت، وبعدها نُفّذت التعليمات البرمجية.
ولأن محفظة تيليجرام ذاتية الحفظ، لا يمكن التراجع عن التحويل.
3. هذا هو الإنذار الأمني الثاني من تيليجرام على أندرويد خلال شهر واحد
في 29 أكتوبر، كشفت شركة NebuSec عن ثغرة إفساد ذاكرة في مكالمات تيليجرام الصوتية والمرئية. ولم يكن على الضحية سوى الرد على مكالمة. وقال تيليجرام إنه سبق أن عالجها في الإصدار 12.10.4.
ميزتان مختلفتان، والدرس واحد: الميزات الجديدة تعني أسطح هجوم جديدة.
الجدل
في 13 نوفمبر، قال مؤسس تيليجرام بافل دوروف إن الثغرة «غير موجودة» بالطريقة الموصوفة، وتحدى المخترقين لاختراق حسابه الشخصي. وجادل بأن تلقي رسالة وحده لا يكفي.
سياق مهم:
- لم يُخصَّص أي رقم CVE للثغرة
- لم يُؤكَّد وقوع هجمات فعلية عليها
- لم ينشر V12 إثباتًا تقنيًا كاملًا
لذا، فقد أُبلغ عن هذه الثغرة أو عُرضت تجريبيًا، لكن لم يثبت بعد استغلالها في العالم الحقيقي. وهذا لا يعني أن عليك تجاهلها.
ما الذي ينبغي عليك فعله الآن - 5 خطوات
1. حدّث تيليجرام لأندرويد إلى الإصدار 13.2.2 أو أحدث عبر Google Play. لا تثبّت ملفات APK من مصادر خارجية.
2. لا تبدأ محادثة مع روبوتات مجهولة. واحذر خصوصًا الروبوتات التي تعدك بإسقاطات جوية للعملات الرقمية أو بعملات مشفرة مجانية أو تطلب منك «التحقق من محفظتك».
3. لا تفتح المحادثات كثيرة الأدوات المصغّرة إلى أن تثبّت التحديث.
4. انقل عبارات الاسترداد إلى خارج هاتفك. لا تلتقط لها لقطات شاشة، ولا تحفظها في تطبيق الملاحظات أو الرسائل المحفوظة في تيليجرام.
5. تحقّق من جلساتك: تيليجرام > الإعدادات > الأجهزة، وسجّل الخروج من الجلسات المجهولة. وافعل الشيء نفسه في تطبيقات منصات التداول.
الخلاصة
في عالم العملات الرقمية، هاتفك هو مصرفك.
وعندما يكون مصرفك ومحفظتك وتطبيق المصادقة الثنائية وتطبيق المحادثات كلها على جهاز واحد، فقد يتحول ثغرة واحدة في تطبيق واحد إلى ثغرة تهددها جميعًا.
حدّث الآن. لا تضغط على «ابدأ» في روبوتات لا تثق بها. ولا تعتبر تيليجرام مكانًا آمنًا لحفظ مفاتيحك أبدًا.
الأمان أولًا، الأمر سهل جدًا. ابقَ SAFU.
أعجبني، وشاركني، وتابعني للمزيد.