Telegram พบรายงานบอตทั่วไปส่งวิดเจ็ตไม่ได้ ขณะที่ Kaspersky เตือนภัยมัลแวร์

มีรายงานจากนักพัฒนาว่าบอตทั่วไปส่งวิดเจ็ต HTML ไม่ได้ ผู้ร่วมพัฒนา Telegram Bot API ตอบว่า บอตทั่วไปไม่สามารถใช้วิดเจ็ตได้แม้ในการสนทนาส่วนตัว

ในรายงานที่โพสต์บนคลัง Telegram Bot API นักพัฒนาระบุว่าการส่งเริ่มล้มเหลวตั้งแต่เวลาประมาณ 00:50 น. ของวันที่ 14 ตามเวลาเกาหลี (KST) ซึ่งแปลงจากเวลาที่บันทึกไว้คือ 15:50 น. UTC ของวันที่ 13

นักพัฒนากล่าวว่า ก่อนเกิดข้อผิดพลาด เขาส่งวิดเจ็ตไปแล้วประมาณ 120 รายการด้วยบอตและห้องแชตเดิม คำขอส่งถูกปฏิเสธพร้อมข้อผิดพลาด INPUT_MEDIA_WIDGET_NOT_ALLOWED

ผู้ร่วมพัฒนาคลังตอบว่า ขณะนี้บอตทั่วไปใช้วิดเจ็ตไม่ได้แม้แต่ในการสนทนาส่วนตัว แต่ไม่ได้ระบุเหตุผลของข้อจำกัดหรือกำหนดเวลายกเลิกข้อจำกัด

Telegram เพิ่มฟังก์ชันส่งวิดเจ็ต sendWidget ใน Bot API 10.4 เมื่อวันที่ 9 พฤศจิกายน อย่างไรก็ตาม บันทึกการเปลี่ยนแปลง Bot API และ เอกสารวิดเจ็ตอย่างเป็นทางการ ที่ตรวจสอบเมื่อวันที่ 15 ระบุว่าสามารถส่งวิดเจ็ตในการสนทนาส่วนตัวบนระบบใช้งานจริงได้ จึงมีข้อมูลที่ไม่ตรงกันระหว่างเอกสารกับรายงานของนักพัฒนาและคำตอบในคลัง

วิดเจ็ต HTML เป็นองค์ประกอบแบบโต้ตอบที่สร้างด้วย HTML, CSS และ JavaScript และทำงานอยู่ในข้อความแชต ผู้ใช้จึงโต้ตอบกับวิดเจ็ตได้โดยไม่ต้องออกจากหน้าสนทนา

Telegram ระบุว่า JavaScript ของวิดเจ็ตทำงานในสภาพแวดล้อม QuickJS ซึ่งถูกบล็อกไม่ให้เข้าถึงเครือข่าย นี่คือรูปแบบการทำงานที่เอกสารอย่างเป็นทางการอธิบายไว้

แคสเปอร์สกี (Kaspersky) กล่าวว่า ตรวจพบกิจกรรมที่สคริปต์ PowerShell ทำงานโดยที่ผู้ใช้ไม่รู้ตัวเมื่อเข้าชมช่อง Telegram บางช่อง จากนั้นดาวน์โหลดและเรียกใช้ WebRAT (Salat Stealer) โพสต์อย่างเป็นทางการของแคสเปอร์สกี ระบุว่ามัลแวร์นี้ทำงานบนคอมพิวเตอร์ที่ติดเชื้อ

แคสเปอร์สกีกล่าวว่า WebRAT สามารถควบคุมคอมพิวเตอร์ที่ติดเชื้อจากระยะไกล และขโมยข้อมูลกระเป๋าเงินคริปโตกับบัญชี Telegram ได้ แต่ยังไม่มีการยืนยันว่ากิจกรรมครั้งนี้ทำให้ข้อมูลกระเป๋าเงินหรือบัญชีถูกขโมยจริงหรือไม่

ในคลัง QuickJS สาธารณะของ Telegram มีการเสนอแก้ไขโค้ดเพื่อปิดช่องทางที่อาจทำให้มีการอ้างอิงหน่วยความจำต่อหลังฟังก์ชันคืนค่า รายละเอียดการแก้ไข QuickJS กล่าวถึงปัญหาการอ้างอิงหน่วยความจำที่ยังคงอยู่หลังฟังก์ชันคืนค่า

การแก้ไขโค้ดนี้เพียงอย่างเดียวไม่ได้พิสูจน์เส้นทางโจมตีของกิจกรรมที่แคสเปอร์สกีตรวจพบ และยังไม่มีการยืนยันความเชื่อมโยงระหว่างการแก้ไขที่เผยแพร่กับการแพร่กระจายมัลแวร์

เอกสารวิดเจ็ตของ Telegram ระบุว่า เมื่อผู้ใช้ร้องขอ บอตสามารถรับที่อยู่และยอดคงเหลือของกระเป๋าเงิน TON ได้ ก่อนหน้านี้ TokenPost รายงานว่า Telegram เพิ่มฟังก์ชันชำระเงิน TON ในวิดเจ็ตข้อความ

คำขอทำธุรกรรมผ่านวิดเจ็ตจะแสดงปลายทางและจำนวนเงินในหน้าต่างกระเป๋าเงินของแอป และให้ผู้ใช้ตรวจสอบก่อนดำเนินการ ข้อมูลที่ส่งผ่านบัตรกระเป๋าเงินนี้ต้องแยกจากข้อมูลที่มัลแวร์อาจขโมยจากกระเป๋าเงินบนอุปกรณ์ที่ติดเชื้อ

พาเวล ดูรอฟ (Pavel Durov) ผู้ก่อตั้ง Telegram กล่าวผ่านช่องทางทางการว่า “แค่ได้รับข้อความก็ไม่ทำให้ถูกแฮ็กได้” เขาระบุว่าการโจมตีจะเกิดขึ้นได้เมื่อผู้ใช้เริ่มใช้บริการของบุคคลที่สามด้วยตนเอง และกล่าวว่าได้ปิดกั้นช่องทางดังกล่าวจากฝั่งเซิร์ฟเวอร์แล้ว ช่องทางทางการของดูรอฟ

แคสเปอร์สกีกล่าวว่าพบสคริปต์ทำงานโดยที่ผู้ใช้ไม่รู้ตัวระหว่างเข้าชมช่อง ขณะที่ดูรอฟอธิบายว่าการโจมตีต้องอาศัยการเริ่มใช้บริการของบุคคลที่สามด้วยตนเอง คำอธิบายทั้งสองจึงแตกต่างกันในเงื่อนไขเริ่มต้นของการโจมตี

ก่อนหน้านี้ TokenPost รายงานการสาธิตที่แอปเครื่องคิดเลขเปิดขึ้นหลังแชตกับบอตบน Telegram สำหรับ Android และการเผยแพร่การอัปเดต รายงานดังกล่าวกล่าวถึงช่องโหว่ Android และการอัปเดตแอป ส่วนรายงานจากนักพัฒนาครั้งนี้เกี่ยวกับข้อผิดพลาดในการส่งวิดเจ็ตของบอตทั่วไป