Telegram لسطح المكتب: BeakSec تكشف طريقة لسحب الملفات بصمت ودون تأكيد

اكتشف باحثو الأمن في BeakSec ثغرة في Telegram لأجهزة الكمبيوتر الشخصية تتيح سحب الملفات من جهاز الضحية دون أن يلاحظ ذلك. كان المهاجم يستخدم معالجًا خاصًا، فيرسل العميل الملفات دون أي تأكيد إضافي من المستخدم: لا نافذة حوار ولا تحذير. وتتعرض للخطر ملفات جلسة Telegram وكل ما يملك المستخدم صلاحية الوصول إليه. نقلت ذلك CNews.

ما المعروف عن الثغرة

التفاصيل المنشورة قليلة. فالتقرير الأصلي لا يتضمن رقم CVE ولا قائمة الإصدارات المتأثرة ولا تحديدًا للمنصات (Windows وmacOS وLinux)، ولا بيانات عن صدور إصلاح. ولا يوضح كذلك ما إذا كانت الثغرة استُغلت في هجمات حقيقية أم بقيت ضمن نطاق البحث.

التفصيل الأساسي موصوف بوضوح: خطوة التأكيد غير موجودة. وعادةً ما تقوم مثل هذه الأساليب على أن يتلقى العميل أمرًا خارجيًا ويعالجه بنفسه. وحين لا يكون بين الأمر والتنفيذ أي سؤال يُوجَّه إلى الإنسان، يصبح بإمكان كل من يستطيع إيصال هذا الأمر قراءة الملفات من القرص. ولا يتضح من البيانات المتاحة ما إذا كان إيصال الأمر يتطلب النقر على رابط أو فتح رسالة.

لماذا تفوق ملفات الجلسة المستندات قيمة؟

يخزّن Telegram Desktop بيانات الجلسة المحلية في المجلد tdata. وهذا هدف معروف منذ زمن لدى البرمجيات الخبيثة: إذ تنسخ برمجيات سرقة البيانات هذا المجلد كاملًا لتفتح لاحقًا حساب الضحية على جهاز آخر دون إدخال الرمز الوارد عبر SMS. فإذا كانت الثغرة تتيح سحب ملفات اعتباطية، فإن tdata كان في صدارة القائمة.

يشفّر رمز المرور المحلي في عميل سطح المكتب البيانات المحلية، لكن ليس كل المستخدمين يفعّلونه. أما كلمة المرور السحابية للتحقق بخطوتين فتحمي تسجيل الدخول من جهاز جديد، غير أن اختطاف الجلسة يثير تساؤلات بشأن نموذج الحماية. وتعتمد التفاصيل على ما تمكّن المهاجم فعليًا من استخراجه.

وإلى جانب الجلسات، تتعرض للخطر المستندات العملية والمفاتيح والملفات المُصدَّرة وملفات الإعدادات وكل ما يوجد في ملف المستخدم الشخصي. وبالنسبة إلى الحواسيب المحمولة في الشركات، حيث يعمل تطبيق المراسلة إلى جانب صلاحيات الوصول إلى الأنظمة الداخلية، يشكّل هذا بندًا مستقلًا من المخاطر.

وهناك سابقة في هذا الشأن. ففي أبريل 2024 أظهر باحثون أن Telegram Desktop على Windows يشغّل أنواعًا معينة من الملفات، منها سكربتات Python، دون تحذير. وأضافت الشركة حينها تحذيرًا. والنمط يتكرر: فسهولة التعامل مع المرفقات والروابط تتعارض مع الحماية من تنفيذ إجراءات غريبة على الكمبيوتر.

ما المؤكد وما غير المؤكد

• من اكتشفها: باحثو BeakSec • أين: Telegram لأجهزة الكمبيوتر الشخصية • الآلية: معالج خاص، وإرسال الملفات دون تأكيد • مدى ظهور الأمر للمستخدم: يحدث الإجراء بصمت • ما المعرّض للخطر: ملفات جلسة Telegram والبيانات الأخرى المتاحة للمستخدم • غير المعلن: CVE، والإصدارات، والمنصات، وحالة الإصلاح، ووقائع الاستغلال

ما العمل الآن

أولًا: تحديث العميل إلى أحدث إصدار والتحقق مما إذا صدر إصدار جديد يتضمن الإصلاح. وطالما لا يوجد في المصدر تأكيد رسمي من Telegram، يبقى موعد الإصلاح مسألة مفتوحة.

ثانيًا: فتح «الإعدادات → الأجهزة» وإنهاء الجلسات غير المعروفة. يستغرق ذلك دقيقة واحدة. ومن المفيد في الوقت نفسه تفعيل كلمة المرور السحابية للتحقق بخطوتين ورمز المرور المحلي في عميل سطح المكتب.

ثالثًا: عدم فتح الروابط والملفات الواردة من جهات اتصال غير معروفة في نسخة سطح المكتب، واستخدام عميل الويب أو تطبيق الهاتف عند الحاجة. وفي أجهزة العمل من المعقول تشغيل تطبيق المراسلة ضمن ملف مستخدم منفصل لا يملك صلاحية الوصول إلى المجلدات الحساسة.

أما لفرق أمن المعلومات: فينبغي إضافة مراقبة عبر EDR لأي وصول إلى المجلد tdata من عمليات غريبة، ولحركة Telegram الصادرة إلى عناوين غير معتادة. وما دامت التفاصيل غير منشورة، فالمطلوب فحص سلوك العميل لا البحث عن توقيعات محددة.