Эксперт нашёл способ вычислить точную геолокацию пользователя Telegram

Эксперт нашёл способ вычислить точную геолокацию пользователя Telegram

По словам независимого исследователя в области кибербезопасности, пользователям мобильных устройств на Android (а иногда и iPhone) стоит опасаться одной из функций мессенджера Telegram. В определённых условиях злоумышленники могут вычислить точное местоположение владельцев смартфонов и планшетов.

Специалист по защите информации Ахмед Хассан утверждает, что сообщил о проблеме разработчикам Telegram, однако те не спешат закрывать лазейку для киберпреступников.

Оказалось, что уязвимость кроется в функции People Nearby, позволяющей найти находящихся рядом людей. По умолчанию эта функция отключена, однако есть ряд владельцев девайсов, привыкших пользоваться People Nearby, поскольку это действительно полезная функциональность.

Когда People Nearby используется по назначению, различного рода злоумышленники не могут вычислить точное местоположение пользователей. Однако Хассан нашёл способ определить, где именно находится владелец мобильного устройства.

С помощью общедоступного софта и Android-устройства, которое прошло процедуру рутинга, исследователь смог перехватить геолокацию девайса, передаваемую на серверы Telegram. Хассан использовал всего три локации, а также измерил расстояние, которое отправляет People Nearby. В результате эксперт вычислил точное местоположение пользователя.

Как известно, Telegram позволяет создавать группы, исходя из географического положения участников. По словам Хассана, злоумышленники могут проникать в такие группы, а потом распространять различные мошеннические схемы и предложения.

«Большинство пользователей не понимают, что они зачастую открывают доступ к своему местоположению и даже домашнему адресу. Например, представительницы слабого пола могут стать объектом слежки и т. д.», — объясняет специалист.

Ахмед Хассан также записал видео, демонстрирующие процесс вычисления геолокации пользователя Telegram. В ролике эксперт использовал бесплатное приложение для спуфинга GPS, с помощью которого он отметил три разные локации. Затем Хассан нарисовал окружность вокруг каждого из этих трёх мест, учитывая радиус, который даёт Telegram. Точное местоположение пользователя было в месте пересечения трёх окружностей.

Исследователь пока не решается опубликовать само видео, однако со скриншотом можно ознакомиться ниже:

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

GitHub быстро заменила приватный ключ RSA SSH, случайно слитый в паблик

Пользователей GitHub.com предупреждают о смене закрытого ключа RSA, который используется для защиты Git-операций, выполняемых через SSH. Причиной замены является его компрометация: секрет кратковременно был доступен в публичном репозитории, куда попал по недосмотру.

Меры предосторожности были приняты сегодня, 24 марта, в 05:00 UTC (в восемь утра по Москве). В противном случае злоумышленники смогли бы сымитировать хостинг-сервис или отслеживать операции юзеров, использующих SSH.

«Данный ключ не предоставляет доступ к инфраструктуре GitHub или клиентским данным, — пояснил глава ИБ-службы хостера Майк Хэнли (Mike Hanley). — Изменения коснутся лишь Git-операций, выполняемых по SSH с использованием RSA».

Входящий веб-трафик GitHub.com и Git-операции через HTTP не затронуты. Те, кто использует ключи ECDSA и Ed25519, изменений не заметят, и никаких действий от них не потребуется.

В тех случаях, когда при подключении к сайту по SSH отображается такое сообщение, следует удалить прежний ключ RSA и добавить новый:

 

Для удаления ключа нужно выполнить команду:

 

Добавить новый ключ можно, запустив автообновление, либо выполнить оба действия вручную. Успех будет сигнализировать следующий фингерпринт:

 

Работы по обновлению всех тегов еще не завершены, поэтому пользователи GitHub Actions, включившие опцию ssh-key, могут столкнуться с отказом actions/checkout. Свидетельств злонамеренного использования попавшего в паблик ключа не обнаружено.

По словам Хэнли, это случайный слив, а не результат компрометации систем GitHub либо клиентской информации, как два месяца назад. Тогда злоумышленникам удалось украсть сертификаты подписи кода для macOS-клиента GitHub и редактора Atom.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru