13 ноября около 19:00 мск Telegram отключил на стороне сервера отправку новых HTML-виджетов всеми ботами, сообщил Kod.ru. Однако виджеты, которые к этому моменту уже появились в переписке, продолжают работать.
HTML-виджеты стали доступны ботам 9 ноября с выпуском Bot API 10.4. Они позволяют помещать в сообщение интерактивный интерфейс и JavaScript-код, который обрабатывается движком QuickJS. В документации Telegram указано, что такой код должен выполняться в изолированной среде без прямого доступа к интернету.
Исследовательская команда V12 дважды показала возможный выход за пределы этой среды. В демонстрации для Windows пользователь запускал стороннего бота, получал от него интерактивное сообщение, после чего на компьютере открывался системный калькулятор. Опыт проводился в Telegram Desktop 7.4.3, выпущенном 12 ноября уже после нескольких исправлений QuickJS.
Читайте также
Исследователи не раскрыли технические подробности новой атаки, включая использованную уязвимость. Основатель Telegram также утверждал, что одного получения сообщения для взлома недостаточно: пользователю требовалось самому запустить сторонний сервис. По его словам, эту возможность затем заблокировали на сервере.
По данным ForkLog, «Лаборатория Касперского» зафиксировала в ночь на 13 ноября попытки заражения компьютеров трояном WebRAT при посещении некоторых Telegram-каналов. Вредоносная программа может удалённо управлять устройством, перехватывать ввод с клавиатуры и похищать данные аккаунтов Telegram и криптокошельков.
Специалисты предположили связь заражений с уязвимостью новых виджетов. Кроме того, документация Telegram разрешала виджеты только в личных чатах с ботами, а не в каналах. Поэтому объединять случаи WebRAT и демонстрации V12 в одну установленную цепочку атаки пока нельзя.
Отключение отправки новых виджетов не обезвредило сообщения, доставленные ранее. Хотя Telegram ранее сообщил об исправлении Android-уязвимости для всех пользователей, «Лаборатория Касперского» рекомендует не запускать ранее доставленные виджеты до отдельного исправления новой проблемы. В новой демонстрации для Windows пользователь взаимодействовал со сторонним ботом; ранее сообщалось и о бескликовой цепочке в старых версиях Telegram, срабатывавшей при показе сообщения.
Одновременно в бета-версии Telegram 13.2 для macOS появился Lockdown Mode — необязательный режим усиленной защиты для людей, которых могут целенаправленно атаковать. Он ограничивает автоматическую загрузку и обработку контента, скрывает HTML-виджеты и запрашивает дополнительное подтверждение, например перед открытием чата с незнакомым аккаунтом или переходом по ссылке. В стабильных версиях Telegram режим пока не заявлен.