Hace unos días los
medios de comunicación se hicieron eco de una vulnerabilidad que estaba
presente en el cliente Telegram que fue publicada el 13 de febrero de 2018 por Kaspersky Lab, aunque Karspersky ya tenía constancia de la
misma desde octubre de 2017. Esta estaba presente en el cliente de “Telegram
Messenger’s Windows”.
- ¿Cómo funcionaba esta vulnerabilidad?
Esta
vulnerabilidad, hacía uso del carácter en Unicode ‘U+202E’. Este cambia el orden de los caracteres, el carácter ‘U+202E’ es utilizado
de forma legítima para lenguajes como son como el Árabe (Ya que el Árabe se
escribe de Derecha a Izquierda a diferencia de otros idiomas que lo hacen a la
inversa)
Una
vez teniendo claro lo anterior los atacantes lo utilizaban para que un archivo
que era un JavaScript (.js) pareciese un inofensivo Portable Network Graphics (.png),
Para que quede claro haré una pequeña vídeo-demo
(Sigue siendo un JavaScript y el sistema lo detecta como JS, solo se engaña al usuario)
Opinión Personal
(Sigue siendo un JavaScript y el sistema lo detecta como JS, solo se engaña al usuario)
Una
vez visto esto así era como quedaba cuando este procedimiento lo realizábamos en
el cliente de Telegram
- ¿Cómo se explotó esta vulnerabilidad por los cibercriminales? (Solo se explica uno en concreto para más información te animo a visitar el paper de Karspersky)
Los
investigadores se encontraron de todo pero sin duda la mayoría se estaban utilizando
para el minado de criptomonedas a las víctimas se les engañaba con la terminación PNG estos pensarían que es una imagen y la ejecutarían, empezaría la apertura de un archivo SFX y el lanzamiento
de un VBScript que este abriría una imagen como señuelo para poder distraer al
usuario y no levantar ninguna sospecha.
Para que luego
este inicie el minado de criptomonedas que se alojara bajo el nombre “csrs.exe” si lo detenemos con el
administrador de tareas este volverá a ejecutarse.
Opinión Personal
Como
dije en mi anterior post que podéis ver aquí, solo era cuestión de tiempo que
veamos ataques relacionados con el minado de criptomonedas ya que es muy
lucrativo a día de hoy y cada día serán más frecuentes
Comentarios
Publicar un comentario