Скрытые прокси-ссылки Telegram могут раскрыть ваш IP-адрес одним щелчком мыши.

[admin]

Достаточно одного клика по, казалось бы, имени пользователя Telegram или безобидной ссылке, чтобы раскрыть свой реальный IP-адрес злоумышленникам из-за особенностей обработки прокси-ссылок.


Telegram сообщил изданию BleepingComputer, что теперь будет добавлять предупреждения к прокси-ссылкам после того, как исследователи продемонстрировали, что специально созданные ссылки могут использоваться для раскрытия реального IP-адреса пользователя Telegram без какого-либо дополнительного подтверждения.

Будьте осторожны со ссылками в Telegram.​

На этой неделе исследователи в области безопасности продемонстрировали, что клиенты Telegram на Android и iOS автоматически пытаются подключиться к прокси-серверу, когда пользователь переходит по специально созданной внутренней ссылке.

Эти ссылки могут быть замаскированы под обычные имена пользователей, например, отображаться как @durov в сообщении Telegram, но на самом деле вести к ссылке на прокси-сервер Telegram.


Ссылки на прокси в Telegram ( t.me/proxy?... ) — это специальные URL-адреса, используемые для быстрой настройки прокси MTProto в клиентах Telegram. Они позволяют пользователям добавить прокси, просто щелкнув по ссылке, вместо того, чтобы вручную вводить данные сервера:

https://t.me/proxy?server=[proxy IP address/hostname]&port=[proxy_port]&secret=[MTProto_secret]


При открытии в Telegram приложение считывает параметры прокси (включая сервер, порт и секретный ключ) и предлагает пользователю добавить прокси в свои настройки.


Эти ссылки широко распространяются, чтобы помочь пользователям обходить сетевые блокировки или интернет-цензуру и скрывать свое реальное местоположение, особенно в условиях жестких ограничений, что делает эту функцию ценной для активистов, журналистов и других лиц, стремящихся к анонимности.


В клиентах Telegram для Android и iOS открытие прокси-ссылки также запускает автоматическую проверку соединения, в результате чего приложение инициирует прямой сетевой запрос с устройства пользователя на указанный сервер, прежде чем будет добавлен прокси.


Злоумышленники могут злоупотреблять этим поведением, создавая собственные прокси-серверы MTProto и распространяя ссылки, которые визуально замаскированы под безобидные имена пользователей или URL-адреса веб-сайтов, но на самом деле указывают на конечные точки конфигурации прокси-сервера.

Если пользователь перейдет по такой ссылке в мобильном приложении, Telegram попытается подключиться к серверу, контролируемому злоумышленником, что позволит оператору прокси-сервера зарегистрировать реальный IP-адрес пользователя.


Полученный IP-адрес может быть использован для определения приблизительного местоположения пользователя, осуществления атак типа «отказ в обслуживании» или для других целенаправленных злоупотреблений.


Проблема была освещена русскоязычным Telegram-каналом chekist42 по ссылке https://t.me/chekist42/139 :

Сообщение в Telegram, первым сообщившее об этой проблеме (BleepingComputer)

Демонстрационная ссылка, замаскированная под скриншот, показанная в публикации, была переопубликована аккаунтом GangExposed RU , что привлекло более широкое внимание к проблеме:
https://t[.]me/proxy?server=<strong>1.1.1.1</strong>&amp;port=<strong>53</strong>&amp;secret=SubscribeToGangExposed_int


«Далее происходит следующее, — объясняет исследователь, — Telegram автоматически отправляет пинг на прокси-сервер перед его добавлением, запрос обходит все настроенные прокси, и ваш реальный IP-адрес мгновенно регистрируется».


«Бесшумная и эффективная целенаправленная атака».


Пользователь 0x6rss , занимающийся исследованиями в области безопасности и OSINT-разведкой на X-сервере, дополнительно продемонстрировал проблему с помощью видеопрезентации:




Исследователь сравнил это поведение с утечками хэшей NTLM в Windows, где одно взаимодействие с специально созданным ресурсом может инициировать автоматический исходящий запрос без ведома пользователя.

В целом, раскрытие IP-адреса может позволить отслеживать местоположение, создавать профили и проводить целенаправленные атаки.


В данном случае для обнаружения уязвимости достаточно одного щелчка мышью и не требуется дополнительного подтверждения, что делает её подходящей для целенаправленной деанонимизации.

Telegram преуменьшает серьезность проблемы, но предупредит пользователей.​

Издание BleepingComputer связалось с Telegram, чтобы узнать, считает ли компания такое поведение уязвимостью.


Компания заявила, что любой веб-сайт или оператор прокси-сервера может видеть IP-адрес посетителей, и что это не является уникальной особенностью Telegram по сравнению с другими платформами обмена сообщениями.


«Любой владелец веб-сайта или прокси-сервера может видеть IP-адрес тех, кто получает к нему доступ, независимо от платформы», — заявил представитель Telegram изданию BleepingComputer.

«Это не имеет большего отношения к Telegram, чем к WhatsApp или любому другому сервису, имеющему доступ к интернету».


«Тем не менее, мы добавляем предупреждение, которое будет отображаться при переходе по прокси-ссылкам, чтобы пользователи могли лучше распознавать замаскированные ссылки».


Компания Telegram не ответила на дополнительные вопросы о том, когда это предупреждение будет внедрено в клиентские приложения.


Между тем, пользователям рекомендуется проявлять осторожность с именами пользователей Telegram и ссылками, ведущими на домены t.me , поскольку переход по замаскированным прокси-ссылкам может непреднамеренно раскрыть их реальный IP-адрес.