Пари на взлом

Павел Дуров (внесен в перечень террористов и экстремистов Росфинмониторинга) предложил хакерам взломать его собственный аккаунт в Telegram. Так основатель мессенджера ответил на заявления об опасных уязвимостях в новой функции мессенджера. Платформа представила виджеты в сообщениях, которые смогут отправлять пользователям боты. Это встроенные в чат формы для заказа товара, игры и другие сервисы. Предполагается, что виджеты можно привязывать и к кошельку TON.

Уже на следующий день исследователи выяснили, что через такой виджет можно запустить на устройстве пользователя посторонние программы. На видео, которое опубликовала одна из команд по кибербезопасности, на Android так удалось открыть калькулятор. Но вместо него злоумышленники могли бы запустить любой вредоносный код. Вероятно, мессенджер вскоре закроет опасную уязвимость, но пока она действительно есть, отметил консультант по интернет-безопасности Positive Technologies Алексей Лукацкий:

«Мы можем подтвердить, что уязвимости в виджетах позволяют выполнять произвольный код на гаджете пользователя, независимо от того, о каком типе устройств идет речь, десктопном ли варианте Telegram либо смартфоне. Поэтому это достаточно опасная история, такие проблемы с мессенджерами происходят. Не могу сказать, что они случаются при каждом обновлении. Но достаточно регулярно та или иная новая функция приводит к тому, что ее можно использовать либо некорректным образом, либо в ней находятся какие-то неустраненные уязвимости.

На первых порах они могут быть использованы злоумышленниками для захвата контроля над смартфоном или ноутбуком либо как минимум для чтения переписки в мессенджере. Что касается кошелька TON, то все зависит от того, насколько он в Telegram у пользователя защищен, какими механизмами, есть ли там дополнительная аутентификация, и как написан вредоносный код, который использует эту самую уязвимость. Потому что ее наличие еще не означает, что эту дыру в защите кто-то реально начал эксплуатировать, тем более в массовом режиме».

СМИ заметили, что Telegram просто отключил функцию виджетов перед тем, как создатель мессенджера выпустил опровержения об уязвимостях в них.