Telegram botlarında widget gönderim hatası bildirildi; Kaspersky zararlı yazılım uyarısı yaptı

Bir geliştirici, Telegram’daki standart botların HTML widget gönderemediğini bildirdi. Kaspersky de bazı Telegram kanallarını ziyaret ederken kullanıcıların haberi olmadan kötü amaçlı yazılım indirildiği bir faaliyet gözlemlediğini açıkladı.

Telegram Bot API deposundaki bildiride geliştirici, gönderim hatalarının Türkiye saatiyle 13 Kasım 18.50 civarında başladığını yazdı. Kayıtta bu saat 13 Kasım 15.50 UTC olarak verilmişti.

Geliştirici, hata ortaya çıkana kadar aynı bot ve sohbet içinde yaklaşık 120 widget gönderdiğini belirtti. Gönderim isteği INPUT_MEDIA_WIDGET_NOT_ALLOWED hatasıyla reddedildi.

Depodaki bir katkı sağlayıcı, standart botların özel sohbetlerde de widget kullanamadığını söyledi. Yanıtta kısıtlamanın nedeni veya ne zaman kaldırılacağı belirtilmedi.

Telegram, 9 Kasım’da Bot API 10.4’e sendWidget özelliğini ekledi. Bot API değişiklikleri ve 15 Kasım’da kontrol edilen resmi widget belgeleri, üretim ortamında özel sohbetlere gönderimin mümkün olduğunu belirtiyor. Bu açıklama, geliştiricinin bildirimi ve depodaki yanıtla uygulamanın mevcut durumu konusunda çelişiyor.

HTML widget’lar, HTML, CSS ve JavaScript ile oluşturulan etkileşimli öğeleri sohbet mesajı içinde çalıştırıyor. Kullanıcılar sohbet ekranından ayrılmadan bu öğelerle etkileşime girebiliyor.

Telegram, widget’ların JavaScript kodunun ağ erişimi engellenmiş QuickJS ortamında çalıştığını belirtiyor. Bu, resmi belgelerde açıklanan çalışma biçimi.

Kaspersky, bazı Telegram kanallarını ziyaret eden kullanıcıların bilgisi dışında bir PowerShell betiğinin çalıştırılarak WebRAT (Salat Stealer) adlı kötü amaçlı yazılımı indirip başlattığı bir faaliyet gözlemlediğini duyurdu. Şirket, zararlı yazılımın bulaştığı bilgisayarda çalıştığını açıkladı.

Kaspersky, WebRAT’ın bulaştığı bilgisayarı uzaktan kontrol edebildiğini, ayrıca kripto varlık cüzdanı ve Telegram hesabı verilerini çalabildiğini belirtti. Bu faaliyette cüzdan bilgilerinin veya hesapların gerçekten ele geçirildiği doğrulanmadı.

Telegram’ın herkese açık QuickJS deposunda, bir fonksiyon geri döndükten sonra belleğe başvurulmaya devam edilmesini önlemeyi amaçlayan bir kod değişikliği yayımlandı. Değişiklik, fonksiyon dönüşünün ardından belleğe erişimin sürmesi sorununu ele alıyor.

Bu kod değişikliği tek başına Kaspersky’nin gözlemlediği faaliyetin saldırı yolunu kanıtlamıyor. Yayımlanan düzeltme ile kötü amaçlı yazılımın yayılması arasında bir neden-sonuç ilişkisi de doğrulanmadı.

Telegram’ın widget belgelerinde, kullanıcının talebi üzerine botun TON cüzdan kartındaki adresi ve bakiyeyi alabileceği belirtiliyor. TokenPost daha önce Telegram mesaj widget’larına TON ödeme özelliği eklendiğini bildirmişti.

Widget üzerinden işlem isteği gönderildiğinde uygulamanın cüzdan penceresinde alıcı adresi ve tutar gösteriliyor; kullanıcı işlemi onaylıyor. Cüzdan kartı bilgilerinin aktarılması ile kötü amaçlı yazılımın bulaşmış cihazdan çalabileceği cüzdan verileri birbirinden ayrı tutulmalı.

Telegram’ın kurucusu Pavel Durov, resmi kanalında “Yalnızca mesaj almakla hacklenemezsiniz” dedi. Durov, saldırının mümkün olması için kullanıcının üçüncü taraf bir hizmeti kendisinin başlatması gerektiğini ve bu yolun sunucu tarafında da kapatıldığını söyledi.

Kaspersky, kanal ziyareti sırasında kullanıcının haberi olmadan betik çalıştırılan bir faaliyet gözlemlediğini bildirdi. Durov ise saldırının mümkün olması için üçüncü taraf hizmetin kullanıcı tarafından başlatılması gerektiğini söyledi. İki açıklama, saldırının hangi koşulda başladığı konusunda farklılık gösteriyor.

TokenPost daha önce Telegram’ın Android uygulamasında bot sohbetinin ardından hesap makinesi uygulamasının açıldığı bir gösterimi ve güncelleme dağıtımını haberleştirmişti. O haber Android güvenlik açığı ile uygulama güncellemesini, bu geliştirici bildirimi ise standart botlarda widget gönderim hatasını ele alıyor.