Peringatan mendesak dikeluarkan pada 13 Nov setelah muncul laporan tentang kerentanan Telegram di Android yang dapat menempatkan aplikasi lain di perangkat yang disusupi pada risiko tinggi.
Peringatan itu muncul setelah perusahaan keamanan V12 menunjukkan pesan bot yang membuka aplikasi Kalkulator di ponsel dengan sendirinya. Itulah bukti klasik Eksekusi Kode Jarak Jauh (RCE) — pihak luar membuat perangkat Anda menjalankan perintah yang seharusnya tidak dijalankan.
Apa yang Sebenarnya Terjadi?
1. Pada 9 Nov — Telegram meluncurkan Widget
Telegram memungkinkan bot mengirim "widget" — aplikasi kecil di dalam pesan obrolan. Bayangkan game, jajak pendapat, aplikasi mini, dan pembayaran dalam Gram $TON melalui dompet kustodi mandiri Telegram.
2. Pada 11 Nov - Demo yang mengejutkan semua orang
V12 mengunggah video yang menunjukkan pesan bot membuka aplikasi Kalkulator Android dengan sendirinya. V12 belum memublikasikan cara kerja serangan tersebut, dan belum ada pihak independen yang mengonfirmasinya.
Laporan mengarah pada bug memori di mesin widget Telegram - fungsi JavaScript yang cacat dapat merusak memori dan membuat widget keluar dari sandbox-nya.
3. Pada 11 hingga 13 Nov - Telegram menyatakan masalahnya telah diperbaiki
Telegram menyatakan bahwa masalah di Telegram untuk Android telah diperbaiki dan pembaruan perbaikannya telah diterapkan kepada semua pengguna. Perbaikan klien dirilis di Telegram untuk Android 13.2.2, yang memindahkan kode widget ke proses terisolasi yang terpisah.
Namun, perbaikan hanya melindungi Anda jika Anda memasangnya. Itulah sebabnya peringatannya sangat mendesak.
Bagaimana Ini Memengaruhi Keamanan Anda?
Kebanyakan orang berpikir: "Ini cuma Telegram, uang saya ada di bursa kripto."
Tidak sesederhana itu.
1. Perangkat disusupi = aplikasi disusupi
Begitu penyerang bisa menjalankan kode di ponsel Anda, mereka tidak lagi terbatas pada Telegram. Secara teori, mereka dapat mencoba:
- Membaca token sesi yang membuat Anda tetap masuk ke aplikasi. 2FA TIDAK melindungi sesi yang sudah terbuka
- Mengakses file, foto, dan papan klip — tempat banyak orang masih menyimpan frasa seed
- Mencuri data dari aplikasi lain di perangkat yang sama
2. Pengguna kripto adalah target yang sempurna
Dunia kripto ramai di Telegram: grup perdagangan, bot airdrop, penjual P2P, bot "dukungan". Penyerang tahu pengguna kripto akan mengetuk Mulai pada bot. Dalam demo V12, pengguna harus mengetuk Mulai di chat bot — lalu kode pun dijalankan.
Dan karena Telegram Wallet menggunakan penyimpanan mandiri, transfer tidak dapat dibatalkan.
3. Ini adalah insiden keamanan Android kedua Telegram dalam sebulan
Pada 29 Okt, perusahaan NebuSec mengungkap celah korupsi memori dalam panggilan suara dan video Telegram. Korban hanya perlu menjawab panggilan. Telegram mengatakan celah itu sudah ditambal di versi 12.10.4.
Dua fitur berbeda, pelajaran yang sama: fitur baru = permukaan serangan baru.
Kontroversi
Pada 13 Nov, pendiri Telegram Pavel Durov mengatakan bahwa celah tersebut "tidak ada" seperti yang dijelaskan, dan menantang peretas untuk meretas akunnya sendiri. Ia berpendapat bahwa menerima pesan saja tidak cukup.
Konteks penting:
- Belum ada CVE yang ditetapkan
- Belum ada serangan di dunia nyata yang terkonfirmasi
- V12 belum merilis bukti teknis lengkap
Jadi, celah ini baru dilaporkan atau didemonstrasikan, belum terbukti dieksploitasi di dunia nyata. Namun, bukan berarti Anda boleh mengabaikannya.
Yang Harus Anda Lakukan SEKARANG - 5 Langkah
1. Perbarui Telegram untuk Android ke versi 13.2.2 atau yang lebih baru melalui Google Play. Jangan memasang APK dari luar toko aplikasi.
2. Jangan mulai bot yang tidak dikenal. Terutama bot yang menjanjikan airdrop, kripto gratis, atau "verifikasi dompet Anda."
3. Jangan buka chat dengan banyak widget sebelum Anda memperbarui aplikasi.
4. Pindahkan frasa seed dari ponsel Anda. Jangan simpan sebagai tangkapan layar, di aplikasi Catatan, atau di Pesan Tersimpan Telegram.
5. Periksa sesi Anda: Telegram > Pengaturan > Perangkat, lalu keluarkan sesi yang tidak dikenal. Lakukan hal yang sama di aplikasi bursa kripto Anda.
Intinya
Dalam dunia kripto, ponsel Anda ADALAH bank Anda.
Dan saat bank, dompet, aplikasi 2FA, serta aplikasi chat Anda semuanya berada di satu perangkat, satu kerentanan di satu aplikasi bisa menjadi kerentanan di semuanya.
Perbarui sekarang. Jangan ketuk Mulai pada bot yang tidak Anda percayai. Dan jangan pernah menganggap Telegram sebagai tempat yang aman untuk menyimpan kunci Anda.
Utamakan keamanan, gampang sekali. Tetap SAFU.
Sukai, bagikan, dan ikuti saya untuk konten lainnya.