Анимированные стикеры в Telegram могли стать каналом для атаки на телефон. Владелец устройства при этом мог ничего не нажимать.
Независимое исследование показало слабость главного аргумента мессенджера о безопасности. В итоге компания заменила уязвимую библиотеку отрисовки целиком.
Хотите еще эксклюзивных новостей и аналитики? Подписывайтесь на наш телеграм-канал , обсуждайте новости и делитесь мнениями о последних событиях рынка в чате!
Один стикер запускает код на устройстве
Анимированные стикеры Telegram используют формат TGS на основе Lottie. Вместо готовой картинки такой файл содержит набор команд, по которым библиотека rlottie строит анимацию на экране. Когда стикер приходит в чат, приложение само обрабатывает его, чтобы показать превью. Именно на этом этапе специально собранный файл мог запустить выполнение постороннего кода — без единого действия получателя.
Проблему представил на конференции OffensiveCon в Токио исследователь безопасности Саифельдин Азиз. Он специализируется на низкоуровневой защите. За год работы исследователь нашел несколько ошибок работы с памятью в rlottie. Они затрагивали клиенты Telegram для iOS, Android и настольных компьютеров.
Для поиска уязвимостей Азиз применил автоматизированное тестирование с участием языковых моделей. Программа создавала множество необычных и поврежденных вариантов анимации, передавала их библиотеке и фиксировала сбои. Часть таких сбоев позволяет не просто обрушить приложение, но и вмешаться в выполнение кода. Отдельные логические ошибки в доставке и проверке стикеров исследователь объединил в цепочку и довел атаку до выполнения кода в версии Telegram для iOS.
От отрицания проблемы к замене движка стикеров
Ранее в этом году уязвимость в обработке стикеров нашли специалисты Zero Day Initiative (ZDI) — подразделения компании Trend Micro, которое занимается поиском уязвимостей. Сначала ошибке присвоили почти максимальный балл опасности 9,8 из 10, затем снизили до 7,0. Причиной стали аргументы Telegram о серверной защите.
В компании заявили, что каждый стикер проходит проверку на серверах до того, как попадет к пользователям. По этой логике вредоносный файл просто не дойдет до уязвимого кода, а значит, выполнить через стикеры посторонний код якобы невозможно.
Исследование Азиза ударило именно по этому утверждению. Он показал, что серверные и клиентские ограничения обходятся, и недоступный на словах код снова становится мишенью. На этом фоне исследователь поставил неудобный вопрос. Возможность запускать код на чужом устройстве без действий владельца, полностью контролируемая самим мессенджером, может считаться защитной мерой, архитектурным риском или чем-то близким к бэкдору — скрытому каналу доступа.
В итоге Telegram пошел дальше серверной фильтрации. Как позднее уточнил сам Азиз, уязвимого кода в клиентах больше нет — компания заменила библиотеку отрисовки rlottie на новую, написанную на языке Rust. Этот язык усложняет появление типичных ошибок работы с памятью, а сам инструмент изначально рассчитан на обработку стикеров как недоверенных файлов.
Для криптосообщества этот случай остается важным уроком. Telegram — один из главных каналов общения для трейдеров, проектов и ботов, связанных с кошельками, а атака через стикер не требует от жертвы никаких действий. Защититься помогают простые шаги. Стоит вовремя обновлять приложение и ограничить круг тех, кто может писать первым. Сделать это можно в настройках Telegram, в разделе «Сообщения», разрешив входящие только от сохраненных контактов.
Читайте оригинальную статью Как мошенники угоняли телефон стикерами в Telegram от Евгения Лиходей на ru.beincrypto.com