Telegram: Forcepoint meldet Schwachstelle

Forcepoint Security Labs meldet eine Schwachstelle in der Bot API des Messengers Telegram, der seinen Nutzern eine besonders sichere Kommunikation dank Ende-zu-Ende-Verschlüsselung verspricht. In einem Blogeintrag beschreiben die Sicherheitsforscher, wie sie ein Malwaremuster untersuchten und dadurch auf einen „schwerwiegenden Fehler“ beim Austausch von Nachrichten über Telegrams Bot API stießen. Die Schwachstelle schreiben sie der Art und Weise zu, wie Telegram mit über diese API versandten Nachrichten umgeht.

Die 2015 eingeführten Bots stellen ganz unterschiedliche Funktionen bereit und erfreuen sich großer Beliebtheit unter den Nutzern von Telegram, das mit über 200 Millionen aktiven Nutzern zur bedeutendsten Whatsapp-Alternative avanciert ist. Im Grunde sind die Bots automatisierte Telegram-Konten, die sich wie Freunde zu Chats und Channels hinzufügen lassen.

Die Forcepoint-Spezialisten gingen schon länger dem missbräuchlichen Einsatz von Telegram-Bots für die Fernsteuerung bösartiger Android-Apps nach. Mehr über die Bots brachten sie in Erfahrung, als sie eine von ihrem Autor „GoodSender“ genannte Remote-Management-Malware analysierten. Im Code der Schadsoftware stießen sie auf Code, der auf die Befehle eines Telegram-Bots wartete. Die Malware verfügte selbst mit dem „Bot API Token“ und der „Chat ID“ über Informationen, die Telegram für Identifizierung und Authentifizierung nutzt, um Bot-Anfragen zu den jeweiligen Chats zu leiten.

Token und ID erlaubten den Sicherheitsforschern die Wiedergabe der gesamten Kommunikation zwischen dem Malware-Autor und seinem Bot. Die Schadsoftware selbst erwies sich als relative simple .NET-Malware, die einen neuen Benutzer mit Administrationsrechten schuf und die Desktop-Fernsteuerung aktivierte. Relevante Informationen wie Benutzername, Passwort und IP-Adresse des Opfers gehen über das Telegram-Netzwerk an den Malware-Betreiber, der somit Zugriff auf das System des Opfers erhält. Zur Kompromittierung kam offenbar das von der NSA entwickelte und durchgesickerte Exploit EternalBlue zum Einsatz, nachdem anfällige Rechner mit dem Schwachstellenscanner EternalBlues ermittelt wurden. Laut Forcepoint wurden mindestens 120 und überwiegend in den USA verortete Opfer infiziert.

Durch diese Malware-Analyse stieß Forcepoint darauf, dass Telegram bei der Bot-Kommunikation nicht wie bei regulären Chats sein proprietäres Protokoll MTProto einsetzt, mit dem es besonders sichere Ende-zu-Ende-Verschlüsselung verspricht. Die Bot-Plattform verlässt sich vielmehr nur auf das herkömmliche TLS (Transport Layer Security), das sich für viele Einsatzzwecke empfiehlt, aber nicht den Anforderungen eines Messengers für absolut vertrauliche Kommunikation genügt. Nicht ohne Grund setzen auch Messenger-Apps wie Signal und WhatsApp auf die Verschlüsselung mit dem Signal-Protokoll.

Kenn White, Direktor des Open Crypto Audit Project, sieht schon darin eine dramatische Schwäche. „Um einer bequemen Integration wegen ein Protokoll einzusetzen, das nicht Teil des Kernprotokolls ist, könnte nicht Integrität und Vorzüge jenes Hauptprotokolls bieten“, zitiert ihn Wired. „Das wäre ein absichtlicher Kompromiss bei der Entwicklung, der die Sicherheitsversprechen dramatisch unterminiert.“ White zählt außerdem zu den Verschlüsselungsexperten, die Telegrams eigenes Protokoll MTProto eher skeptisch sehen.

Jeder Angreifer, der wenige Informationen in Erfahrung bringen kann, die ohnehin mit jeder Nachricht übermittelt werden, kann Forcepoint zufolge nicht nur Nachrichten mitlesen, sondern den vollständigen Messaging-Verlauf des Empfänger-Bots wiederherstellen und einsehen. Die Sicherheitsexperten empfehlen daher allen Nutzern, keine Telegram-Bots zu verwenden sowie Channels und Gruppen mit einem Bot zu vermeiden.