Шкідливе ПЗ для macOS може обходити двофакторну автентифікацію Telegram, викрадати криптовалютні гаманці та права доступу до облікових записів

PANews 18 липня повідомляє, що згідно з FinanceFeeds, дослідники безпеки виявили шкідливе програмне забезпечення для викрадення інформації, яке атакує пристрої macOS, націлюючись на криптокористувачів. Воно може перехоплювати сесії Telegram Desktop, викрадати паролі та бази даних гаманців тощо, щоб надалі контролювати облікові записи користувачів і викрадати цифрові активи. Наразі серед уражених гаманців і застосунків — програмні гаманці Exodus, Atomic, Electrum, Wasabi, Monero та інші. Це шкідливе ПЗ може витягувати конфіденційні дані з macOS Keychain, Cookie Safari, Apple Notes, Telegram Desktop і багатьох баз даних, пов’язаних із криптогаманцями. До таких даних належать облікові дані для входу, файли вже автентифікованих сесій, дані гаманців і інформація про розширення браузера.

Згідно з висновками безпекового аналізу, небезпека цієї атакувальної ланцюжка полягає в тому, що вона не залежить від уразливості лише одного гаманця. Натомість вона поєднує проникнення на пристрій, захоплення облікового запису, злам гаманця та викрадення seed-фраз (мнемоніки) шляхом збирання різних типів даних із пристрою. При цьому Telegram Desktop є головною ціллю. Зловмисники можуть копіювати вже автентифіковані локальні дані сесії Telegram і відновлювати вхід на іншому пристрої Mac без потреби вводити номер телефону, код підтвердження або пароль для двофакторної автентифікації Telegram. Це означає, що Telegram 2FA в такому сценарії атаки не забезпечує повного захисту, оскільки зловмисник не виконує новий вхід, а використовує вже довірену локальну сесію.

Для криптокористувачів ризики ще більше зростають. Оскільки Telegram широко використовується для підтримки на сайтах бірж, у спільнотах проєктів, під час OTC-торгів і для комунікації з гаманцями, якщо зловмисник отримає доступ до сесії користувача, він може видавати себе за жертву, читати приватні чати, визначати інформацію про активи та навіть поширювати серед контактів шкідливі посилання.