Ngày 13 tháng 11, một cảnh báo khẩn cấp được đưa ra sau khi có báo cáo về lỗ hổng Telegram trên Android, có thể khiến các ứng dụng khác trên thiết bị bị xâm phạm gặp rủi ro cao.
Cảnh báo được đưa ra sau khi công ty bảo mật V12 cho thấy một tin nhắn từ bot có thể tự mở ứng dụng Máy tính trên điện thoại. Đây là bằng chứng kinh điển về Thực thi mã từ xa (RCE) - khi một người bên ngoài khiến thiết bị của bạn chạy những lệnh mà nó không nên chạy.
Chuyện gì thực sự đã xảy ra?
1. Ngày 9 tháng 11 - Telegram ra mắt Tiện ích
Telegram cho phép bot gửi “tiện ích” - các ứng dụng nhỏ bên trong tin nhắn trò chuyện. Hãy nghĩ đến trò chơi, cuộc bình chọn, ứng dụng mini và thanh toán bằng Gram $TON thông qua ví tự quản lý của Telegram.
2. Ngày 11 tháng 11 - Bản demo khiến mọi người sửng sốt
V12 đăng một video cho thấy tin nhắn của bot tự mở ứng dụng Máy tính Android. V12 chưa công bố cách thức cuộc tấn công hoạt động, và chưa có bên độc lập nào xác nhận điều này.
Các báo cáo cho rằng nguyên nhân là lỗi bộ nhớ trong bộ máy widget của Telegram - một hàm JavaScript bị lỗi định dạng có thể làm hỏng bộ nhớ và cho phép widget thoát khỏi môi trường sandbox.
3. Từ ngày 11 đến 13 tháng 11 - Telegram cho biết đã khắc phục
Telegram cho biết sự cố trong Telegram cho Android đã được khắc phục và bản sửa lỗi đã được triển khai cho tất cả người dùng. Bản sửa lỗi cho ứng dụng được đưa vào Telegram cho Android 13.2.2, phiên bản này chuyển mã widget sang một tiến trình riêng biệt, biệt lập.
Nhưng bản sửa lỗi chỉ bảo vệ bạn nếu bạn cài đặt nó. Đó là lý do cảnh báo này rất khẩn cấp.
Điều này ảnh hưởng thế nào đến bảo mật của bạn?
Hầu hết mọi người nghĩ: “Chỉ là Telegram thôi mà, tiền của tôi nằm trên sàn giao dịch.”
Không phải như vậy.
1. Thiết bị bị xâm nhập = ứng dụng bị xâm nhập
Một khi kẻ tấn công có thể chạy mã trên điện thoại của bạn, chúng không còn bị giới hạn ở Telegram. Về lý thuyết, chúng có thể tìm cách:
- Đọc mã thông báo phiên giúp bạn duy trì trạng thái đăng nhập vào các ứng dụng. 2FA KHÔNG bảo vệ phiên đã đăng nhập
- Truy cập tệp, ảnh và bộ nhớ tạm — nơi nhiều người vẫn lưu cụm từ khôi phục
- Đánh cắp dữ liệu từ các ứng dụng khác trên cùng thiết bị
2. Người dùng tiền mã hóa là mục tiêu hoàn hảo
Telegram là nơi cộng đồng tiền mã hóa hoạt động: nhóm giao dịch, bot airdrop, người bán P2P, bot “hỗ trợ”. Kẻ tấn công biết người dùng tiền mã hóa sẽ nhấn Bắt đầu trên bot. Trong bản demo của V12, người dùng phải nhấn Bắt đầu trong cuộc trò chuyện với bot — sau đó mã mới chạy.
Và vì Telegram Wallet là ví tự quản lý, giao dịch chuyển tiền không thể đảo ngược.
3. Đây là sự cố đáng lo ngại thứ hai của Telegram trên Android trong một tháng
Ngày 29 tháng 10, công ty NebuSec công bố một lỗ hổng gây hỏng bộ nhớ trong các cuộc gọi thoại và video của Telegram. Nạn nhân chỉ cần trả lời một cuộc gọi. Telegram cho biết họ đã vá lỗi này trong phiên bản 12.10.4.
Hai tính năng khác nhau, cùng một bài học: tính năng mới = bề mặt tấn công mới.
Tranh cãi
Ngày 13 tháng 11, nhà sáng lập Telegram Pavel Durov nói rằng lỗ hổng như được mô tả “không tồn tại” và thách thức tin tặc tấn công chính tài khoản của ông. Ông lập luận rằng chỉ nhận được tin nhắn thôi thì chưa đủ.
Thông tin quan trọng:
- Chưa có mã CVE nào được cấp
- Chưa xác nhận có cuộc tấn công nào ngoài thực tế
- V12 chưa công bố bằng chứng kỹ thuật đầy đủ
Vậy nên đây là sự cố được báo cáo hoặc trình diễn, chưa có bằng chứng cho thấy nó đã bị khai thác ngoài thực tế. Nhưng điều đó không có nghĩa là bạn nên phớt lờ.
Việc bạn nên làm NGAY BÂY GIỜ - 5 bước
1. Cập nhật Telegram cho Android lên phiên bản 13.2.2 trở lên qua Google Play. Đừng cài APK từ nguồn ngoài.
2. Đừng khởi chạy bot lạ. Đặc biệt là các bot hứa hẹn airdrop, tiền mã hóa miễn phí hoặc yêu cầu bạn “xác minh ví”.
3. Đừng mở các cuộc trò chuyện có nhiều widget cho đến khi bạn cập nhật.
4. Chuyển cụm từ khôi phục ra khỏi điện thoại. Không chụp ảnh màn hình, không lưu trong ứng dụng Ghi chú, không lưu trong Tin nhắn đã lưu của Telegram.
5. Kiểm tra các phiên đăng nhập: Telegram > Cài đặt > Thiết bị, đăng xuất khỏi các phiên lạ. Làm tương tự trong các ứng dụng sàn giao dịch của bạn.
Tóm lại
Trong lĩnh vực tiền mã hóa, điện thoại CHÍNH LÀ ngân hàng của bạn.
Và khi ngân hàng, ví, ứng dụng 2FA và ứng dụng trò chuyện của bạn đều nằm trên cùng một thiết bị, một lỗ hổng trong một ứng dụng có thể trở thành lỗ hổng trong tất cả chúng.
Cập nhật ngay. Đừng nhấn Bắt đầu trên bot mà bạn không tin tưởng. Và đừng bao giờ xem Telegram là nơi an toàn để lưu trữ khóa của bạn.
Bảo mật là trên hết, dễ như ăn kẹo. Hãy luôn SAFU.
Thích, chia sẻ và theo dõi tôi để xem thêm.