Некоторая macOS-вредоносная программа может обходить двухфакторную аутентификацию Telegram, похищая криптокошельки и права доступа к аккаунтам

PANews 18 июля сообщают, что согласно FinanceFeeds, исследователи безопасности обнаружили вредоносное ПО для кражи информации, нацеленное на устройства с macOS и атакующее криптопользователей. Злоумышленники могут перехватывать сессии Telegram Desktop, похищать пароли и базы данных кошельков, чтобы далее контролировать учетные записи пользователей и похищать цифровые активы. В настоящее время затронуты кошельки и приложения, включая Exodus, Atomic, Electrum, Wasabi, Monero и другие софт-кошельки. Это вредоносное ПО способно извлекать конфиденциальные данные из macOS Keychain, Cookie Safari, Apple Notes, Telegram Desktop, а также из нескольких баз данных, связанных с криптокошельками, включая учетные данные для входа, файлы уже аутентифицированных сессий, данные кошельков и информацию о браузерных расширениях.

Как отмечают в ходе анализа, опасность этой цепочки атак в том, что она не зависит от одной-единственной уязвимости конкретного кошелька, а объединяет инциденты взлома устройства, захвата учетной записи, взлома кошелька и кражи seed-фраз, собирая разные типы данных с устройства. При этом ключевой целью становится Telegram Desktop-сессия. Атакующие могут копировать локальные данные аутентифицированной Telegram-сессии и восстанавливать вход на другом устройстве Mac без ввода номера телефона, кода подтверждения или пароля для Telegram-двухфакторной защиты. Это означает, что Telegram 2FA в такой сценарий атаки не обеспечивает полноценной защиты, поскольку злоумышленник не выполняет новый вход, а использует уже доверенную локальную сессию.

Для криптопользователей риск дополнительно возрастает. Поскольку Telegram широко используется для работы с поддержкой бирж, общения в сообществах проектов, OTC-сделок и коммуникаций с кошельками, после получения прав на сессию пользователя атакующий может выдавать себя за жертву, читать приватные чаты, определять информацию об активах и даже распространять вредоносные ссылки среди контактов.