¿Como Funciona la vulnerabilidad de Telegram?

Hace unos días los medios de comunicación se hicieron eco de una vulnerabilidad que estaba presente en el cliente Telegram que fue publicada el 13 de febrero de 2018 por Kaspersky Lab, aunque Karspersky ya tenía constancia de la misma desde octubre de 2017. Esta estaba presente en el cliente de “Telegram Messenger’s Windows”.

• ¿Cómo funcionaba esta vulnerabilidad?

Esta vulnerabilidad, hacía uso del carácter en Unicode ‘U+202E’. Este cambia el orden de los caracteres, el carácter ‘U+202E’ es utilizado de forma legítima para lenguajes como son como el Árabe (Ya que el Árabe se escribe de Derecha a Izquierda a diferencia de otros idiomas que lo hacen a la inversa)

Una vez teniendo claro lo anterior los atacantes lo utilizaban para que un archivo que era un JavaScript (.js) pareciese un inofensivo Portable Network Graphics (.png), Para que quede claro haré una pequeña vídeo-demo

(Sigue siendo un JavaScript y el sistema lo detecta como JS, solo se engaña al usuario)

Una vez visto esto así era como quedaba cuando este procedimiento lo realizábamos en el cliente de Telegram

• ¿Cómo se explotó esta vulnerabilidad por los cibercriminales? (Solo se explica uno en concreto para más información te animo a visitar el paper de Karspersky)

Los investigadores se encontraron de todo pero sin duda la mayoría se estaban utilizando para el minado de criptomonedas a las víctimas se les engañaba con la terminación PNG estos pensarían que es una imagen y la ejecutarían, empezaría la apertura de un archivo SFX y el lanzamiento de un VBScript que este abriría una imagen como señuelo para poder distraer al usuario y no levantar ninguna sospecha.

Para que luego este inicie el minado de criptomonedas que se alojara bajo el nombre “csrs.exe” si lo detenemos con el administrador de tareas este volverá a ejecutarse.

 Opinión Personal

Como dije en mi anterior post que podéis ver aquí, solo era cuestión de tiempo que veamos ataques relacionados con el minado de criptomonedas ya que es muy lucrativo a día de hoy y cada día serán más frecuentes