Sztuczka z pismem od prawej do lewej pomogła zainstalować koparki kryptowalut

Użytkownicy multiplatformowego komunikatora Telegram mogli paśćofiarą wyrafinowanego ataku, który posłużył do zainstalowania naich sprzęcie koparek kryptowalut, a mógł służyć także doinstalowania furtek zdalnego dostępu i innych atrakcji. Odkryteprzez Kaspersky Lab zagrożenie jest ciekawe z dwóch powodów:pomysłowego użycia znanej sztuczki z językami pisanymi od prawejdo lewej, oraz wyboru samej grupy docelowej: Telegram jest bardzochętnie używany przez fanów przeróżnych kryptowalut.

Znak Unicode U+202E służy do odwrócenia kierunku znaków, jakiepo nim nastąpią – tak aby można było osadzić w tekściepisanym alfabetem łacińskim czy cyrylicą słowo pisane np.alfabetem arabskim czy hebrajskim. Jednak już dawno temucyberprzestępcy zauważyli, że można wykorzystać go dozmodyfikowania sposobu wyświetlania nazwy pliku w oprogramowaniu,które nie jest zabezpieczone przed tym zagrożeniem.

Okazało się, że taka sytuacja występuje w desktopowym kliencieTelegrama. Załóżmy, że napastnik przygotuje wiadomość, w którejumieści złośliwy plik JavaScriptu, który otrzyma nazwęphoto_high_reU+202Egnp.js. Normalnie taki plik skryptowy zostałbyrozpoznany jako plik uruchamialny i zablokowany, ale nie w podatnychwersjach Telegrama. Znak zwrotu kierunku sprawia, że ofierzezostanie on przedstawiony jako photo_high_resj.png – ot jakiśniegroźny obrazek.

Kiedy ofiara kliknie plik do pobrania, Windows wyświetliostrzeżenie o niemożliwości zweryfikowania wydawcy (o ileużytkownicy nie wyłączył takich ostrzeżeń w ustawieniach) – ipo kliknięciu Uruchom, uruchomi złośliwy plik.

Ta prosta metoda ataku pozwoliła cyberprzestępcom na masowy atakprzeciwko użytkownikom Telegrama. Poprzez uzłośliwiony JavaScriptwysyłana była napisana na .NET Frameworka aplikacja pobierania,sterowana bezpośrednio przez telegramowe API za pomocą bota. Pouruchomieniu zmieniała ona wpisy rozruchu systemu w Rejestrze, byzapewnić sobie przetrwanie restartu maszyny, kopiowała swoje plikiwykonywalne w zależne od wersji Windowsa lokalizacje i czekała napolecenia od bota.

Bot do dyspozycji ma kilkanaście komend, pozwalających napobieranie i rozpakowywanie plików, uruchamianie ich, kasowaniedanych, przesyłanie listy aktywnych procesów i zabijanie wskazanychprocesów. W ten właśnie sposób pobrane zostały ładunki mającedocelowo pracować na komputerach ofiar. Były to nheq.exe, koparkawysoce anonimowej kryptowaluty Zcash, oraz taskmng.exe, koparkacałkowicie anonimowych kryptowalut na bazie algorytmu CryptoNight –Monero i Fantomcoin.

Z czasem napastnicy ulepszali swoje skrypty, dodając metodywyłączania zabezpieczeń Windowsa, instalując narzędzia zdalnegodostępu oraz wykradania danych użytkowników, by wgrać je nazdalny serwer.

Wydawca Telegrama już zabezpieczył swój komunikator, najnowszawersja 1.2.6 jest odporna na sztuczkę z odwróceniem kierunku pisma.Znajdziecie ją w naszej bazieoprogramowania. My ze swojej strony dodamy, że widzieliśmy jużkilka tygodni temu takie właśnie udające obrazki PNG plikiJavaScriptu, rozsyłane w telegramowych grupach społecznościzwiązanych z kryptowalutami, obiecujące zawierać sygnałydotyczące opłacalnych inwestycji. No cóż, ofiara zamiast sygnałudostawała koparkę.