Un bug de Telegram para escritorio permitía controlar tu PC a distancia e incluso minar criptomonedas

Una vulnerabilidad de tipo 0-day descubierta en Telegram permitía a atacantes usar el ordenador de personas que tengan el cliente de Telegram instalado para minar criptomonedas, la última ‘moda’ en ataques informáticos, en la que se usa la potencia de tu procesador para realizar cálculos matemáticos a cambio de monedas virtuales (que en ningún caso verás y se quedará el atacante).

La vulnerabilidad, descubierta por Kaspersky Lab, ha estado siendo usada desde marzo del año pasado para minar criptomonedas tales como Zcash, Moneo y Fantomcoin, no tan conocidas como Bitcoin, y de las que probablemente no hayas ni oído hablar.

Esto no quita, no obstante, que la vulnerabilidad pudo ser usada también para instalar spyware (un programa que nos espía) o software maligno; esto es, la minería no es el único escenario plausible donde usar esta vulnerabilidad. Únicamente afecta a los PC (ordenadores con Windows), y no a los clientes de GNU/Linux o macOS. Por ejemplo, podríamos enviar un virus que nos permita controlar el ordenador de la víctima.

Una puerta trasera en Telegram para controlar nuestro ordenador

Durante mucho tiempo cualquier cliente de Telegram estuvo expuesto, pero, ahora mismo, y con la última versión del cliente instalada desde la página web (basta con que la versión que sea la hayamos instalado desde la web, y la hayamos actualizado desde otros sitios que no sean la propia aplicación), ya no funciona.

El fallo permite enviar cualquier archivo a otra persona, y que lo abra pensando que es otro tipo de archivo

Cómo funcionaba este exploit es muy sencillo: al enviar un archivo con un nombre con un carácter especial (U + 202E) que obliga al programa a invertir el orden de las letras, de modo que se puede ocultar su extensión real. Este carácter no es imprimible de izquierda a derecha (como en nuestro alfabeto), obliga a imprimir los siguientes caracteres de derecha a izquierda (como en la literatura árabe).

ejemplo exploit telegram windows

De este modo, se puede hacer creer al usuario que está abriendo un archivo adjunto que realmente tiene otro formato. Vamos a explicarlo gráficamente: “ejemplo – *U+202E*gnp.js”; de este modo, se ve lo siguiente: “ejemplo – sj.png”. Esto da mucho juego, como podremos imaginar, pues lo podemos hacer con cualquier formato.