13 ноября было опубликовано срочное предупреждение: как сообщалось, уязвимость Telegram на Android могла подвергнуть другие приложения на скомпрометированном устройстве высокому риску.
Предупреждение появилось после того, как компания по кибербезопасности V12 показала, как сообщение от бота самостоятельно открывает приложение «Калькулятор» на телефоне. Это классическая демонстрация удалённого выполнения кода (RCE) — когда посторонний заставляет ваше устройство выполнять команды, которые оно не должно выполнять.
Что произошло на самом деле?
1. 9 ноября — Telegram запускает виджеты
Telegram позволил ботам отправлять «виджеты» — небольшие приложения внутри сообщения в чате. Например, игры, опросы, мини-приложения и платежи в Gram $TON через кошелёк Telegram с самостоятельным хранением средств.
2. 11 ноября — демо, которое шокировало всех
V12 опубликовал видео, на котором сообщение от бота самостоятельно открывает приложение «Калькулятор» на Android. V12 не рассказал, как работает атака, и независимые эксперты пока этого не подтвердили.
Согласно сообщениям, причина — ошибка памяти в движке виджетов Telegram: некорректная функция JavaScript могла повредить память и позволить виджету выйти за пределы своей изолированной среды.
3. С 11 по 13 ноября — Telegram сообщает, что проблема устранена
Telegram сообщил, что проблема в Telegram для Android устранена и исправление было установлено у всех пользователей. Исправление появилось в Telegram для Android версии 13.2.2: код виджетов перенесли в отдельный изолированный процесс.
Но исправление защитит вас, только если вы его установите. Именно поэтому предупреждение было срочным.
Как это влияет на вашу безопасность?
Большинство думает: «Это же просто Telegram, мои деньги хранятся на бирже».
Но всё устроено не так.
1. Взлом устройства = взлом приложений
Если злоумышленник может выполнять код на вашем телефоне, его возможности не ограничиваются Telegram. Теоретически он может попытаться:
- Считать токены сеансов, благодаря которым вы остаётесь в приложениях авторизованными. Двухфакторная аутентификация НЕ защитит уже открытый сеанс
- Получить доступ к файлам, фотографиям и буферу обмена — многие до сих пор хранят там сид-фразы
- Украсть данные из других приложений на том же устройстве
2. Пользователи криптовалют — идеальная цель
В Telegram кипит криптожизнь: торговые группы, боты для раздачи токенов, P2P-продавцы, боты «поддержки». Злоумышленники знают, что пользователи криптовалют нажимают «Запустить» у ботов. В демо V12 пользователю нужно было нажать «Запустить» в чате с ботом — после этого выполнялся код.
А поскольку кошелёк Telegram Wallet работает по модели самостоятельного хранения, отменить перевод невозможно.
3. Это уже второй тревожный случай с Telegram на Android за месяц
29 октября компания NebuSec сообщила об уязвимости, связанной с повреждением памяти, в голосовых и видеозвонках Telegram. Жертве достаточно было ответить на звонок. Telegram заявил, что уязвимость уже была исправлена в версии 12.10.4.
Две разные функции — один урок: новые функции = новые возможности для атак.
Споры вокруг уязвимости
13 ноября основатель Telegram Павел Дуров заявил, что описанной уязвимости «не существует», и предложил хакерам взломать его собственный аккаунт. Он утверждал, что одного получения сообщения недостаточно.
Важный контекст:
- Номер CVE не присвоен
- Подтверждённых атак в реальных условиях нет
- V12 не представил полных технических доказательств
Итак, об уязвимости сообщали или демонстрировали её, но пока не доказали, что её использовали в реальных атаках. Но это не значит, что её следует игнорировать.
Что нужно сделать СЕЙЧАС — 5 шагов
1. Обновите Telegram для Android до версии 13.2.2 или новее через Google Play. Не устанавливайте APK-файлы из сторонних источников.
2. Не запускайте неизвестных ботов. Особенно ботов, обещающих раздачу токенов, бесплатную криптовалюту или «проверку вашего кошелька».
3. Не открывайте чаты с большим количеством виджетов, пока не установите обновление.
4. Уберите сид-фразы с телефона. Не храните их в виде скриншотов, в приложении «Заметки» или в «Избранном» Telegram.
5. Проверьте активные сеансы: Telegram > Настройки > Устройства и завершите неизвестные сеансы. Сделайте то же самое в приложениях криптобирж.
Итог
В мире криптовалют ваш телефон — это ВАШ БАНК.
И когда банк, кошелёк, приложение для двухфакторной аутентификации и мессенджер находятся на одном устройстве, одна уязвимость в одном приложении может поставить под угрозу их все.
Обновитесь прямо сейчас. Не нажимайте «Запустить» у ботов, которым не доверяете. И никогда не считайте Telegram безопасным местом для хранения ключей.
Безопасность прежде всего — проще простого. Оставайтесь SAFU.
Ставьте лайк, делитесь и подписывайтесь, чтобы не пропустить новые публикации.