La empresa Check Point informó sobre una nueva vulnerabilidad en Telegram, la app más popular después de Whatsapp. Una de sus funcionalidades más populares es la creación de bots dentro de la app.
Los bots de Telegram son aplicaciones de terceros que se ejecutan dentro de la aplicación de mensajería. No necesitas instalarlos ni hacer nada diferente para poder utilizarlos, ya que se integran de manera que se utilizan como si fueran una persona real con la que interactúas. Son multiplataforma, y los puedes usar en la versión de Telegram del sistema operativo que quieras.
Muchos usuarios los encuentran muy atractivos ya que con un simple código puedes realizar varias consultas y hacer más funcional el mensajero, sin embargo, ciberdelincuentes han aprovechado esta función para atacar a empresas. El ataque incrusta código malicioso dentro de un troyano de acceso remoto (RAT) identificado como ToxicEye. Según el reporte, los dispositivos infectados con ToxicEye son controlados a través de cuentas de Telegram operadas por los hackers.
Los expertos mencionan que este troyano puede tomar control de los sistemas de archivos, instalar malware de cifrado y extraer información confidencial de las computadoras de las víctimas. Los expertos de Check Point han rastreado al menos 130 intentos de ataque relacionados con ToxicEye durante los últimos 3 meses; estos ataques emplean la plataforma de mensajería para comunicarse con su propio servidor C&C y extraer datos confidenciales.
Toxic Eye es capaz de:
- robar datos
- eliminar o transferir archivos
- matar procesos en la PC
- secuestrar el micrófono y la cámara de la PC para grabar audio y video
- cifrar archivos con fines de rescate
Un ataque inicia cuando los hackers crean cuentas dentro de Telegram, y agregan el bot que permite interactuar automáticamente con otros usuarios. Los actores de amenazas agrupan el token del bot con el troyano o con cualquier otra variante de malware de su elección, propagando la infección a través de campañas de spam y de emails de phishing.
Cuando el usuario objetivo abre el archivo adjunto malicioso, su dispositivo se conecta a Telegram y queda completamente expuesto a ataques remotos mediante el bot de los hackers. Al completarse la infección los hackers logran toda clase de ataques posteriores.
Par identificarlo se debe hallar el archivo nombrado rat.exe en la ubicación C:\Users\ToxicEye\rat[.]exe para confirmar si su sistema ha sido infectado.