Check Point Research varuje před hackerskými útoky, které využívají populární komunikační aplikaci Telegram. Telegram patří mezi 10 nejstahovanějších aplikací na světě a má více než 500 milionů aktivních uživatelů. Hackeři ovšem aplikaci stále častěji zneužívají k útokům na organizace a jako řídící systém pro vzdálenou distribuci malwaru.
Check Point v uplynulých 3 měsících detekoval více než 130 kybernetických útoků, při nichž byl použit trojan pro vzdálený přístup (RAT) nazvaný „ToxicEye“. RAT je typ malwaru, který útočníkům umožňuje plnou vzdálenou kontrolu nad infikovaným systémem. ToxicEye řídí útočníci právě přes Telegram. Hrozba se šíří prostřednictvím phishingových e-mailů se škodlivým .exe souborem. Jakmile uživatel otevře přílohu, do počítače se nainstaluje ToxicEye a začne škodit, aniž by o tom uživatel věděl.
Systém umožňuje hackerům odesílat škodlivé příkazy, dokonce i když Telegram na zařízení není nainstalován nebo používán. Všechny nedávné útoky vystavovaly oběti podobným rizikům:
- Krádeže dat, informací o počítači, historie prohlížeče a cookies
- Mazání a přenos souborů nebo ukončení procesů v počítači a kontrola nad správcem úloh
- Instalace keyloggerů, nahrávání zvuku a videí z okolí oběti pomocí mikrofonu a kamery počítače nebo zneužití obsahu schránky
- Šifrování a dešifrování souborů a šíření ransomwaru
Check Point popsal, jak takový útok probíhá:
- Útočník nejprve vytvoří účet na Telegramu a speciálního bota, tedy vzdáleně ovládaný účet, se kterým mohou uživatelé komunikovat.
- Token bota je připojen k nějakému malwaru.
- Malware se šíří prostřednictvím spamových kampaní jako příloha e-mailu. Check Point objevil například škodlivý soubor „paypal checker by saint.exe“
- Po otevření se škodlivá příloha připojí k Telegramu. Na jakoukoli takto infikovanou oběť lze zaútočit prostřednictvím telegramového bota, který prostřednictvím Telegramu připojí zařízení uživatele k serveru útočníka.
- Útočníci následně mohou naplno spustit své škodlivé aktivity.
Proč hackeři využívají právě Telegram?
Výzkumný tým Check Point Research upozorňuje, že nárůst telegramového malwaru souvisí s rostoucí oblibou této komunikační platformy. Mezi hackerskými nástroji na GitHubu byly objeveny desítky nových telegramových škodlivých kódů. Kyberzločinci považují Telegram za nedílnou součást svých útoků, protože nabízí mnoho výhod:
- Dostupnost. Telegram je populární, snadno použitelná a stabilní služba, která není blokována podnikovými antivirovými řešeními, ani nástroji pro správu sítí.
- Anonymita. Útočníci mohou zůstat v anonymitě, protože proces registrace vyžaduje pouze mobilní číslo.
- Jednoduchost. Komunikační funkce Telegramu umožňují útočníkům krást data z počítačů obětí nebo přenášet škodlivé soubory na infikovaná zařízení.
- Mobilita. Telegram také umožňuje útočníkům používat mobilní zařízení pro přístupu k infikovaným počítačům téměř odkudkoli na celém světě.
„Sledujeme agresivní trend, kdy autoři malwaru používají platformu Telegram jako řídící systém pro distribuci malwaru do organizací. Systém umožňuje malwaru přijímat příkazy na dálku pomocí služby Telegram, i když Telegram není v zařízení nainstalován nebo používán. Malware, který hackeři použili, lze snadno najít například na GitHubu. Útočníci využívají situaci, kdy je Telegram používán a povolen téměř ve všech organizacích a mohou tak při kyberútocích obejít bezpečnostní mechanismy,“ říká Petr Kadrmas, Security Engineer Eastern Europe v kyberbezpečnostní společnosti Check Point. „Varujeme organizace a uživatele Telegramu, aby si dávali pozor na škodlivé e-maily a byli opatrní, zejména pokud předmět e-mailu obsahuje uživatelské jméno nebo je obsah zprávy psán kostrbatě. Očekáváme, že hackeři budou dále vylepšovat své techniky, jak zneužít Telegram k útokům.“
