Телеграм-каналы угоняют по секретному чату

Телеграм-каналы угоняют по секретному чату

Телеграм-каналы угоняют по секретному чату

Новая схема угона телеграм-каналов строится на сообщениях в секретном чате якобы от команды Telegram. Злоумышленники разыгрывают сценарий ошибки антиспам-системы и уводят жертву на фишинговую страницу.

На новый прием воровства телеграм-аккаунтов обращают внимание в каналах по тематике OSINT.

Пользователю в секретный чат приходит сообщение от якобы команды Telegram с пометкой "Security Notification" с примерным текстом:

“Ваш аккаунт может быть временно ограничен. Очень жаль, чтo Bы c этим столкнулись. K coжaлeнию, инoгдa нaшa aнтиc⁡пaм-cиcтeмa излишнe cуpoвo peaгиpуeт нa нeкoтopыe дeйc⁡твия. Ecли Bы cчитaeтe, чтo oгpaничeниe Вaшeгo aккaунтa oшибoчнo, пoжaлуйcтa, пepeйдитe пo ccылкe и пoдтвepдитe cвoю учeт⁡ную зaпиcь - https://telegram.org@ipts. re***rt/confirm?id=XXXXXXXXX

В случае игнорирования данного сообщения, с целью обеспечения безопасности текущий аккаунт может быть заблокирован.

С уважением, команда Телеграм”.

При переходе по ссылке открывается не официальный Telegram, а фишинговый сайт, похожий на мессенджер.

Чтобы снять “ограничения с аккаунта” злоумышленники запрашивают код на номер телефона. Если жертва попадает на крючок, то лишается доступа в свой телеграм-аккаунт.

Эксперты по безопасности рекомендуют придерживаться простых правил:

  • быть внимательными со всеми ссылками для перехода;
  • иметь в виду, что команда Telegram не отправляет сообщения пользователям в секретный чат с замком;
  • использовать двухфакторную аутентификацию в Telegram;
  • как вариант, проверять подозрительные ссылки на виртуальных машинах;
  • не поддаваться на провокацию совершить необдуманное действие.

Добавим, в 2022 году рост мирового фишинга в Telegram превысил 800%. К началу 2023 года в России фишинг стал одним из основных способов мошенничества в мессенджере.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Нового трояна-полиморфика раскусили лишь два антивируса на VirusTotal

Анализ обнаруженного на VirusTotal образца Python-зловреда показал, что это троян удаленного доступа, умеющий изменять свой код при каждом исполнении. Других свидетельств существования этого RAT исследователь пока не нашел.

По состоянию на 9 октября новичка опознают как угрозу лишь два антивируса из 63 в коллекции VirusTotal.

Способность вредоносов на лету слегка изменять свой код для обхода сигнатурного анализа известна как полиморфизм. Новый RAT с этой целью использует две функции: self_modifying_wrapper() и and polymorph_code().

Первая выполняет операции XOR с произвольным ключом над критически важными фрагментами кода. При этом распаковка и упаковка осуществляются в памяти, без записи результатов на диск.

 

Механизм polymorph_code заполняет код мусором, меняет имена переменных, перетасовывает определения функций, привносит пустые операции.

 

В результате подобных преобразований хеш вредоносного файла при каждом запуске изменяется, что существенно снижает уровень детектирования.

В остальном новобранец схож с собратьями. Он умеет по команде сканировать сети, открывать доступ к аккаунтам перебором дефолтных учеток, эксплуатировать уязвимости в роутерах, загружать и запускать пейлоад, воровать и выводить данные, самостоятельно распространяться по сети.

Взаимодействие RAT с оператором осуществляется через Discord или Slack.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru