Telegram är en bekväm chatt app. Även malware skapare tror det! ToxiceYe är ett råttmalwareprogram som piggybacks på Telegrams nätverk, kommunicerar med sina skapare genom den populära chattjänsten.
Malware som chattar på telegram
Tidigt 2021, poäng av användare lämnade whatsapp För meddelanden Apps lovande bättre datasäkerhet efter bolagets tillkännagivande att det skulle dela användarmetadata med Facebook som standard. Många av dessa människor gick till konkurrerande apps telegram och signal.
Telegram var den mest nedladdade appen, med Över 63 miljoner installationer I januari 2021, enligt sensortornet. Telegramchats är inte slutgiltiga krypterade som signalchats , Och nu har telegram ett annat problem: malware.
Software Company Check Point nyligen upptäckt De dåliga skådespelarna använder telegram som en kommunikationskanal för ett malwareprogram som heter Toxiceye. Det visar sig att vissa av telegrams funktioner kan användas av attacker för att enkelt kommunicera med sina skadliga program än via webbaserade verktyg. Nu kan de röra med smittade datorer via ett bekvämt telegramschatbot.
Vad är toxiceye, och hur fungerar det?
Toxiceye är en typ av skadlig kod som heter a Fjärråtkomst Trojan (RAT) . Råttor kan ge en angripare kontroll av en smittad maskin på distans, vilket innebär att de kan:
- stjäl data från värddatorn.
- Ta bort eller överföra filer.
- Döda processer som körs på den infekterade datorn.
- Hijack datorns mikrofon och kamera för att spela in ljud och video utan användarens samtycke eller kunskap.
- Kryptera filer för att uträtta ett lösen från användare.
Toxiceye-råttan sprids via ett phishing-system där ett mål skickas ett mail med en inbäddad EXE-fil. Om den riktade användaren öppnar filen installerar programmet skadlig kod på sin enhet.
Råttor liknar de fjärråtkomstprogram som säger att någon i tekniskt stöd kan använda för att ta kommandot av din dator och fixa ett problem. Men dessa program smygar utan tillstånd. De kan efterlikna eller vara dolda med legitima filer, ofta förklädd som ett dokument eller inbäddat i en större fil som ett videospel.
Hur angripare använder telegram för att kontrollera skadlig kod
Så tidigt som 2017 har angripare använt telegram för att kontrollera skadlig programvara från ett avstånd. Ett anmärkningsvärt exempel på detta är Masad Stealer Program som tömde offrens krypto plånböcker det året.
Check Point Forskare Omer Hofman säger att företaget har hittat 130 toxiceye-attacker med hjälp av den här metoden från februari till april 2021, och det finns några saker som gör telegram till nytta för dåliga aktörer som sprider skadlig kod.
För en sak är telegram inte blockerad av brandväggsprogram. Det är också inte blockerat av verktygshanteringsverktyg. Det är en lättanvänd app som många känner igen som legitima, och sålunda, låt deras vakt ner runt.
Registrering för telegram kräver endast ett mobilnummer, så attacker kan förbli anonym . Det låter dem också attackera enheter från sin mobila enhet, vilket innebär att de kan starta en cyberattack från nästan var som helst. Anonymitet gör attackerna till någon - och stoppa dem-extremt svåra.
Infektionskedjan
Så här fungerar toxiceinfektionskedjan:
- Anfallaren skapar först ett telegramkonto och sedan a Telegram "bot" som kan utföra åtgärder på distans via appen.
- Den botkornet sätts in i skadlig källkod.
- Den skadliga koden skickas ut som e-postspam, som ofta är förtäckt som något legitimt att användaren kan klicka på.
- Fästet öppnas, installeras på värddatorn och skickar information till Attackerens kommandocenter via telegrambotten.
Eftersom den här råttan skickas ut via spam-e-post, behöver du inte ens vara en telegramanvändare för att bli smittad.
Hålla sig säker
Om du tror att du kanske har laddat ner ToxiceYe, rekommenderar du användarna att kontrollera följande fil på din dator: c: \ users \ toxiceye \ rat.exe
Om du hittar den på en arbetsdator, raderar du filen från ditt system och kontakta din helpdesk omedelbart. Om det är på en personlig enhet, radera filen och kör en antivirusprogramskanning direkt.
Vid skrivetiden, från och med slutet av april 2021, har dessa attacker bara upptäckts på Windows-datorer. Om du inte redan har Ett bra antivirusprogram Installerad, nu är det dags att få det.
Andra provade och sanna råd för bra "digital hygien" gäller också, som:
- Öppna inte e-postmeddelanden som ser misstänkta ut och / eller är från obekanta avsändare.
- Var försiktig med tillbehör som innehåller användarnamn. Skadliga e-postmeddelanden inkluderar ofta ditt användarnamn i ämnesraden eller ett bifogningsnamn.
- Om e-postmeddelandet försöker låta brådskande, hotande eller auktoritativt och trycka dig på att klicka på en länk / bilaga eller ge känslig information, är det förmodligen skadligt.
- Använd anti-phishing-programvara om du kan.
Masad-stjälkoden gjordes tillgänglig på GitHub efter attackerna 2017. Kontrollera punkten säger att det har lett till utvecklingen av en mängd andra skadliga program, inklusive toxiceye:
"Eftersom Masad blev tillgänglig på hackingforum, har dussintals nya typer av skadlig kod som använder telegram för [Command and Control] och utnyttjat Telegrams funktioner för skadlig aktivitet, visat sig som" off-the-hylla "vapen i hacking verktygsregistrering i GitHub .
Företag som använder programvaran skulle göra det bra att överväga att byta till något annat eller blockera det på sina nätverk tills telegram implementerar en lösning för att blockera denna distributionskanal.
Under tiden bör enskilda användare hålla ögonen avskalade, var medvetna om riskerna och kontrollera sina system regelbundet för att rota ut hot - och kanske överväga att byta till signal istället.
