«Попробуйте взломать мой аккаунт»: Дуров ответил на сообщения об опасной уязвимости в новых виджетах Telegram

13 ноября основатель Telegram Павел Дуров* (Pavel Durov) ответил на сообщения об уязвимости в новых HTML-виджетах мессенджера. По его словам, проблемы в том виде, в каком о ней пишут, не существует, а всем сомневающимся он предложил попробовать взломать его собственный аккаунт.

Виджеты появились в Telegram 9 ноября: теперь боты могут присылать небольшие приложения прямо внутри сообщения. Дуров тогда хвалился, что любое сообщение в Telegram теперь может стать приложением. Уже через два дня исследователи безопасности из компании V12 показали ролик, в котором бот отвечает на команду, и через несколько секунд на Android-смартфоне сам собой открывается калькулятор. Это классическая демонстрация удалённого выполнения кода, а исследователи переиначили фразу Дурова: по их словам, теперь любое сообщение может стать уязвимостью.

Telegram отреагировал быстро. Исправление на серверах выпустили в течение нескольких часов, а в приложение для Android оно вошло в версии 13.2.2. По словам компании, к 11 ноября исправление дошло до всех пользователей, а реальных атак через эту уязвимость не зафиксировано. Сам Дуров объяснил ситуацию так:

Закрытой историю назвать пока сложно. По некоторым сообщениям, после второй демонстрации, на этот раз на PC, Telegram отключил виджеты на сервере, хотя официально это не подтверждалось. А «Лаборатория Касперского» сообщила о реальных атаках, которые, предположительно, связаны с уязвимостью: при посещении некоторых Telegram-каналов на компьютерах незаметно скачивался троян WebRAT, ворующий данные криптокошельков и аккаунтов Telegram. Связь с виджетами в компании называют пока лишь предположением. Криптобиржа Bybit на всякий случай призвала пользователей не взаимодействовать с незнакомыми ботами: через виджеты проходят платежи в криптовалюте, а такие переводы невозможно отменить.

Какими функциями Telegram, кроме обычных чатов, вы пользуетесь чаще всего? Делитесь в комментариях.

*Внесён Росфинмониторингом в перечень террористов и экстремистов.