Telegram phát sinh rủi ro mới

Một lỗ hổng nghiêm trọng trên Telegram Desktop cho phép mã JavaScript độc hại được chèn vào tệp HTML khi người dùng xuất cuộc trò chuyện, đặt dữ liệu cá nhân và thông tin trao đổi trước nguy cơ bị thu thập.

Lỗ hổng ảnh hưởng các phiên bản Telegram Desktop từ 4.15.1 đến 6.9.3, được chấm 8,2/10 theo CVSS 3.1. Phiên bản đã được vá là 7.0.1 trở lên.

Một lỗ hổng bảo mật vừa được cảnh báo đang cho thấy một rủi ro ít được người dùng chú ý: chính thao tác xuất dữ liệu có thể trở thành điểm tấn công.

Theo thông tin từ cơ quan công an, các nhà nghiên cứu bảo mật Denis Rostilov và Aleksander Rostilov thuộc ExPatch phát hiện lỗi trong tính năng xuất cuộc trò chuyện sang HTML của Telegram Desktop. Lỗ hổng đã được công bố sau khi nền tảng phát hành bản vá.

Cụ thể, kẻ tấn công có thể sử dụng bot gửi tin nhắn chứa các nút liên kết được thiết kế đặc biệt. Những nút này có thể chứa mã JavaScript cùng ký tự ẩn, khiến nội dung bất thường khó nhận biết khi xem trực tiếp trên Telegram.

Nguy cơ xuất hiện khi người dùng xuất cuộc trò chuyện sang HTML bằng phiên bản bị ảnh hưởng. Do dữ liệu trong nút liên kết không được xử lý và mã hóa đầy đủ, mã độc có thể được trình duyệt thực thi khi mở tệp HTML, thậm chí không cần người dùng nhấp thêm.

Đáng chú ý, mã độc có khả năng thu thập nội dung tin nhắn, tên người gửi, thời gian trao đổi, thông tin cuộc trò chuyện và một số đường dẫn tệp cục bộ trước khi gửi dữ liệu về máy chủ của kẻ tấn công. Trong thử nghiệm, tệp HTML còn có thể bị chỉnh sửa để hiển thị biểu mẫu “xác minh Telegram” giả mạo, mở thêm nguy cơ lừa đảo.

Rủi ro không chỉ nằm ở tin nhắn mới. Một cuộc trò chuyện cũ cũng có thể trở thành nguồn phát tán mã độc nếu được xuất bằng phiên bản chưa vá; nội dung độc hại trong một số điều kiện còn có thể được chuyển tiếp sang nhóm hoặc cuộc trò chuyện khác.