Dietro ogni attacco cyber c’è un giro di affari incredibile. I cybercriminali utilizzano siti e forum clandestini per pubblicizzare e vendere codici malevoli per attaccare gruppi e chat come Telegram. L’ultimo aggiornamento in tema cybersecurity riguarda proprio Telegram.
ESET, leader europeo globale nel mercato della cybersecurity, ha individuato un exploit zero-day, mirato all’app Telegram per Android, apparso in vendita a un prezzo non specificato su un forum underground del giugno 2024. Utilizzando l’exploit che ESET ha denominato “EvilVideo”, gli aggressori potrebbero condividere payload Android dannosi tramite canali, gruppi e chat di Telegram, facendoli apparire come file multimediali.
“Abbiamo individuato l’exploit pubblicizzato su un forum clandestino, in cui il venditore mostrava schermate e un video di test dell’exploit in un canale Telegram pubblico. Siamo riusciti a identificare il canale in questione, con l’exploit ancora disponibile. Questo ci ha permesso di testarlo direttamente”, spiega Lukáš Štefanko, ricercatore ESET che ha scoperto l’exploit di Telegram.
L’analisi di Evilvideo condivisa da ESET
L’analisi dell’exploit condotta da ESET Research ha rivelato che il codice opera sulle versioni di Telegram 10.14.4 e precedenti. Questo exploit sembra sfruttare l’API di Telegram, che permette agli sviluppatori di caricare file multimediali specificamente realizzati nelle chat o nei canali. L’exploit sfrutta la capacità di mostrare un payload Android come anteprima multimediale, anziché come allegato binario. Quando viene condiviso in chat, il payload dannoso appare come un video di 30 secondi.
Per impostazione predefinita, Telegram scarica automaticamente i file multimediali ricevuti da EvilVideo. Gli utenti con questa opzione abilitata scaricheranno automaticamente il payload dannoso una volta aperta la conversazione in cui è stato condiviso. L’opzione di download automatico può essere disattivata manualmente: in tal caso, il payload può ancora essere scaricato toccando il pulsante di download del video condiviso.
Quando l’utente tenta di riprodurre il “video”, Telegram mostra un messaggio di errore che indica l’impossibilità di riprodurre il video e suggerisce di utilizzare un lettore esterno. Tuttavia, se l’utente tocca il pulsante Apri nel messaggio visualizzato, verrà invitato a installare un’app dannosa camuffata da app esterna.
Disponibile una nuova versione di Telegram
Dopo aver scoperto la vulnerabilità di EvilVideo il 26 giugno 2024, ESET ha seguito la policy di divulgazione coordinata e l’ha segnalata a Telegram, ma inizialmente non ha ricevuto risposta. ESET ha inoltrato nuovamente la segnalazione il 4 luglio e, questa volta, Telegram ha confermato che erano in corso indagini interne su EvilVideo. Il problema è poi stato risolto con la distribuzione della versione 10.14.5, rilasciata l’11 luglio. La vulnerabilità riguarda tutte le versioni di Telegram per Android fino alla 10.14.4, ma è stata corretta a partire dalla versione 10.14.5.
