Критическая уязвимость в Telegram Desktop позволяет похищать любые локальные файлы. Исправлена в версии 7.2.9
Вы общаетесь в Telegram и когда-нибудь задумывались, что стоит лишь нажать на ссылку на веб-страницу — и файлы на компьютере незаметно окажутся в чужих руках?
Эта критическая уязвимость в Telegram Desktop действительно коварна. Хакеры используют ошибку при обработке ссылок, открываемых извне клиента: достаточно заставить вас нажать в браузере на специально созданную ссылку, чтобы воспользоваться разрешениями Telegram и украсть конфиденциальные локальные файлы и ключ сессии. При этом можно даже обойти двухфакторную аутентификацию.
Вот несколько моих мыслей:
Пробуждение приложений друг через друга — главная слепая зона безопасности
Мы обычно опасаемся вредоносных файлов, присланных в чате, но упускаем из виду, что веб-страницы могут напрямую запускать настольные приложения через системные протоколы. Многие разработчики совершенно не обеспечивают надёжную изоляцию при таком взаимодействии между приложениями.
Украсть учётные данные хакерам выгоднее, чем получить полный контроль над компьютером
Хакеры становятся всё практичнее: получить максимальные права на вашем компьютере слишком сложно. Гораздо проще украсть учётные данные — получив ключ сессии, можно в любой момент войти в ваш аккаунт. Это незаметно и эффективно.
В дальнейшем хакеры, скорее всего, примутся искать уязвимости и в других приложениях, запускаемых через пользовательские протоколы, например Discord, Slack и других.
Как защититься?
▶️ Срочно обновите приложение до версии 7.2.9 или новее.
▶️ Отключите автоматическую загрузку файлов в Telegram.
▶️ Если браузер спрашивает «Разрешить открыть внешнее приложение», всегда отказывайте, если сами не инициировали это действие.
Вы общаетесь в Telegram и когда-нибудь задумывались, что стоит лишь нажать на ссылку на веб-страницу — и файлы на компьютере незаметно окажутся в чужих руках?
Эта критическая уязвимость в Telegram Desktop действительно коварна. Хакеры используют ошибку при обработке ссылок, открываемых извне клиента: достаточно заставить вас нажать в браузере на специально созданную ссылку, чтобы воспользоваться разрешениями Telegram и украсть конфиденциальные локальные файлы и ключ сессии. При этом можно даже обойти двухфакторную аутентификацию.
Вот несколько моих мыслей:
Пробуждение приложений друг через друга — главная слепая зона безопасности
Мы обычно опасаемся вредоносных файлов, присланных в чате, но упускаем из виду, что веб-страницы могут напрямую запускать настольные приложения через системные протоколы. Многие разработчики совершенно не обеспечивают надёжную изоляцию при таком взаимодействии между приложениями.
Украсть учётные данные хакерам выгоднее, чем получить полный контроль над компьютером
Хакеры становятся всё практичнее: получить максимальные права на вашем компьютере слишком сложно. Гораздо проще украсть учётные данные — получив ключ сессии, можно в любой момент войти в ваш аккаунт. Это незаметно и эффективно.
В дальнейшем хакеры, скорее всего, примутся искать уязвимости и в других приложениях, запускаемых через пользовательские протоколы, например Discord, Slack и других.
Как защититься?
▶️ Срочно обновите приложение до версии 7.2.9 или новее.
▶️ Отключите автоматическую загрузку файлов в Telegram.
▶️ Если браузер спрашивает «Разрешить открыть внешнее приложение», всегда отказывайте, если сами не инициировали это действие.