Nhà phát triển báo lỗi bot Telegram không gửi được widget; Kaspersky cảnh báo WebRAT

Một nhà phát triển báo rằng bot thông thường không thể gửi widget HTML. Một người đóng góp cho kho lưu trữ Telegram Bot API cũng trả lời rằng bot thông thường hiện không thể dùng widget, kể cả trong cuộc trò chuyện riêng.

Trong báo cáo đăng trên kho lưu trữ Telegram Bot API, nhà phát triển cho biết việc gửi widget bắt đầu thất bại vào khoảng 0 giờ 50 ngày 14 tháng 11, theo giờ Hàn Quốc. Mốc này tương ứng 15 giờ 50 ngày 13 tháng 11 theo giờ UTC.

Nhà phát triển nói đã gửi khoảng 120 widget bằng cùng một bot trong cùng một phòng chat trước khi lỗi xuất hiện. Yêu cầu gửi bị từ chối với lỗi INPUT_MEDIA_WIDGET_NOT_ALLOWED.

Người đóng góp cho kho lưu trữ trả lời rằng bot thông thường hiện không thể dùng widget, kể cả trong cuộc trò chuyện riêng. Câu trả lời không nêu lý do hạn chế hay thời điểm gỡ bỏ.

Ngày 9 tháng 11, Telegram bổ sung tính năng gửi widget sendWidget vào Bot API 10.4. Nhật ký thay đổi Bot API và tài liệu widget chính thức, được kiểm tra ngày 15 tháng 11, cho biết có thể gửi widget trong cuộc trò chuyện riêng ở môi trường vận hành. Mô tả này trái với báo cáo của nhà phát triển và phản hồi trên kho lưu trữ.

Widget HTML là thành phần tương tác được tạo bằng HTML, CSS và JavaScript, có thể chạy bên trong tin nhắn trò chuyện. Người dùng tương tác với widget mà không cần rời khỏi màn hình hội thoại.

Telegram cho biết JavaScript của widget chạy trong môi trường QuickJS, nơi quyền truy cập mạng bị chặn. Đây là cách vận hành widget được nêu trong tài liệu chính thức.

Kaspersky cho biết đã ghi nhận hoạt động trong đó một tập lệnh PowerShell chạy mà người dùng không hay biết khi họ truy cập một số kênh Telegram, sau đó tải xuống và chạy WebRAT (Salat Stealer). Bài đăng chính thức của Kaspersky nói mã độc này chạy trên máy tính bị lây nhiễm.

Kaspersky cho biết WebRAT có thể điều khiển từ xa máy tính bị lây nhiễm và đánh cắp dữ liệu ví tiền mã hóa cùng thông tin tài khoản Telegram. Chưa xác nhận được liệu hoạt động lần này có thực sự dẫn đến việc đánh cắp thông tin ví hoặc tài khoản hay không.

Kho lưu trữ QuickJS công khai của Telegram đã đăng một thay đổi mã nhằm chặn đường dẫn có thể tiếp tục tham chiếu bộ nhớ sau khi hàm trả về. Nội dung sửa đổi đề cập đến vấn đề còn tham chiếu bộ nhớ sau khi hàm kết thúc.

Riêng thay đổi mã này không chứng minh được đường tấn công của hoạt động mà Kaspersky ghi nhận. Mối liên hệ nhân quả giữa bản sửa đổi công khai và hoạt động phát tán mã độc chưa được xác nhận độc lập.

Tài liệu widget của Telegram cho biết khi người dùng yêu cầu, bot có thể nhận địa chỉ và số dư của thẻ ví TON. Trước đó, TokenPost đưa tin tính năng thanh toán TON được bổ sung vào widget tin nhắn Telegram.

Yêu cầu giao dịch qua widget sẽ hiển thị điểm đến và số tiền trong cửa sổ ví của ứng dụng để người dùng xác nhận. Thông tin thẻ ví được gửi theo cách này cần được phân biệt với dữ liệu liên quan đến ví mà mã độc có thể lấy cắp từ thiết bị bị lây nhiễm.

Nhà sáng lập Telegram Pavel Durov nói trên kênh chính thức: “Chỉ nhận được tin nhắn thì không thể bị hack”. Ông cho biết cuộc tấn công chỉ có thể xảy ra khi người dùng trực tiếp khởi chạy dịch vụ bên thứ ba, đồng thời nói rằng đường dẫn này đã bị chặn ở phía máy chủ. Nội dung được đăng trên kênh chính thức của Durov.

Kaspersky cho biết họ ghi nhận hoạt động trong đó tập lệnh chạy mà người dùng không hay biết khi truy cập kênh, còn Durov nói rằng cuộc tấn công đòi hỏi người dùng phải trực tiếp khởi chạy dịch vụ bên thứ ba. Hai bên đưa ra mô tả khác nhau về điều kiện khởi đầu cuộc tấn công.

Trước đó, TokenPost đưa tin về một màn trình diễn cho thấy ứng dụng máy tính trên Android được mở sau khi trò chuyện với bot Telegram, cùng việc phát hành bản cập nhật. Bài viết trước đề cập đến lỗ hổng Android và bản cập nhật ứng dụng, còn báo cáo lần này của nhà phát triển liên quan đến lỗi gửi widget của bot thông thường.