Forcepoint entdeckte Telegram-Schwachstelle

Schwerwiegender Fehler

Forcepoint Security Labs meldet eine Schwachstelle in der Bot API des Messengers Telegram, der seinen Nutzern eine besonders sichere Kommunikation dank Ende-zu-Ende-Verschlüsselung verspricht. In einem Blogeintrag beschreiben die Sicherheitsforscher, wie sie ein Malwaremuster untersuchten und dadurch auf einen „schwerwiegenden Fehler“ beim Austausch von Nachrichten über Telegrams Bot API stießen. Die Schwachstelle schreiben sie der Art und Weise zu, wie Telegram mit über diese API versandten Nachrichten umgeht, wie zdnet.de dazu ausführte.

Missbrauch beliebter Bots

Die 2015 eingeführten Bots stellen ganz unterschiedliche Funktionen bereit und erfreuen sich großer Beliebtheit unter den Nutzern von Telegram, das mit über 200 Millionen aktiven Nutzern zur bedeutendsten Whatsapp-Alternative avanciert ist. Im Grunde sind die Bots automatisierte Telegram-Konten, die sich wie Freunde zu Chats und Channels hinzufügen lassen.

Wie weiter dazu verlautete, gingen die Forcepoint-Spezialisten schon länger dem missbräuchlichen Einsatz von Telegram-Bots für die Fernsteuerung bösartiger Android-Apps nach. Mehr über die Bots brachten sie in Erfahrung, als sie eine von ihrem Autor „GoodSender“ genannte Remote-Management-Malware analysierten.

Im Code der Schadsoftware stießen sie auf Code, der auf die Befehle eines Telegram-Bots wartete. Die Malware verfügte selbst mit dem „Bot API Token“ und der „Chat ID“ über Informationen, die Telegram für Identifizierung und Authentifizierung nutzt, um Bot-Anfragen zu den jeweiligen Chats zu leiten.

Token und ID erlaubten den Sicherheitsforschern die Wiedergabe der gesamten Kommunikation zwischen dem Malware-Autor und seinem Bot. Die Schadsoftware selbst erwies sich als relative simple .NET-Malware, die einen neuen Benutzer mit Administrationsrechten schuf und die Desktop-Fernsteuerung aktivierte. Relevante Informationen wie Benutzername, Passwort und IP-Adresse des Opfers gehen über das Telegram-Netzwerk an den Malware-Betreiber, der somit Zugriff auf das System des Opfers erhält. Zur Kompromittierung kam offenbar das von der NSA entwickelte und durchgesickerte Exploit EternalBlue zum Einsatz, nachdem anfällige Rechner mit dem Schwachstellenscanner EternalBlues ermittelt wurden. Laut Forcepoint wurden mindestens 120 und überwiegend in den USA verortete Opfer infiziert.

Vertrauliche Kommunikation nicht gewährleistet

Durch diese Malware-Analyse stieß Forcepoint darauf, dass Telegram bei der Bot-Kommunikation nicht wie bei regulären Chats sein proprietäres Protokoll MTProto einsetzt, mit dem es besonders sichere Ende-zu-Ende-Verschlüsselung verspricht. Die Bot-Plattform verlässt sich vielmehr nur auf das herkömmliche TLS (Transport Layer Security), das sich für viele Einsatzzwecke empfiehlt, aber nicht den Anforderungen eines Messengers für absolut vertrauliche Kommunikation genügt. Nicht ohne Grund setzen auch Messenger-Apps wie Signal und WhatsApp auf die Verschlüsselung mit dem Signal-Protokoll.