UN STICKER EN TELEGRAM PUDO HABER REVELADO TUS CHATS SECRETOS
Investigadores de ciberseguridad revelaron esta semana los detalles de un fallo, ya parcheado, en la aplicación de mensajería Telegram, a través del cual un sticker podría haber expuesto los mensajes, fotos y vídeos secretos de las víctimas a usuarios mal intencionados conectados remotamente.
Las fallas fueron descubiertas por la firma Shielder, con sede en Italia, en las versiones de la aplicación para iOS, Android y macOS. Aunque en el informe no se menciona la versión para Linux asumimos que igualmente estuvo expuesta. Tras la revelación de dichos fallos, Telegram inmediatamente tomó acción por medio de una serie de parches lanzados el 30 de septiembre y el 2 de octubre del 2020.
Los problemas revelados eran consecuencia de la forma en que opera la funcionalidad del chat secreto y en el manejo de la aplicación de los stickers animados (Pegatinas), lo cual permitía a los atacantes enviar stickers malformados a usuarios desprevenidos y obtener acceso a los mensajes, fotos y vídeos que se intercambiaron con sus contactos de Telegram a través de los chats clásicos y secretos.
Debe mencionarse que explotar los fallos en el ciberespacio puede no ser trivial, ya que requiere el enlace de las debilidades mencionadas con al menos una vulnerabilidad adicional para poder burlar las defensas de seguridad de los dispositivos modernos. Eso podría parecer muy difícil, pero, por el contrario, están al alcance tanto de las bandas de ciberdelincuentes, así como incluso por ciertos grupos patrocinados por algunas naciones.
Shielder dijo que decidió esperar al menos 90 días antes de revelar públicamente los fallos para dar a los usuarios tiempo suficiente para actualizar sus dispositivos.
«Las revisiones periódicas de seguridad son cruciales en el desarrollo de software, especialmente con la introducción de nuevas características, como las pegatinas animadas«, dijeron los investigadores. «Los fallos de los que hemos informado podrían haber sido utilizados en un ataque para acceder a los dispositivos de opositores políticos, periodistas o disidentes«.
Cabe destacar que este es el segundo fallo descubierto en la función de chat secreto de Telegram, después de que la semana pasada se informara de un fallo que afectaba a la privacidad en su aplicación para macOS y que permitía acceder a mensajes de audio y vídeo que se autodestruían mucho después de que desaparecieran de los chats secretos.
También es de señalar que tampoco es la primera vez que las imágenes y los archivos multimedia enviados a través de los servicios de mensajería se convierten en armas para llevar a cabo ataques nefastos.
En marzo de 2017, investigadores de Check Point Research revelaron una nueva forma de ataque contra las versiones web de Telegram y WhatsApp, que consistía en el envío a los usuarios de archivos de imagen aparentemente inocuos que contenían un código malicioso que, al abrirse, podría haber permitido a un adversario tomar el control de las cuentas de los usuarios en cualquier navegador por completo, y acceder a las conversaciones personales y de grupo de las víctimas, fotos, vídeos y listas de contactos.
Fuente: Shielder Security Blog
