امنیت آبان ۱۴۰۵

در بسیاری از شرکت‌های ایرانی، تلگرام هنوز ابزار اصلی هماهنگی روزمره است. گروه فروش، ارسال فایل برای مشتری و پیگیری سفارش‌ها اغلب از همین پیام‌رسان انجام می‌شود. در عین حال، نصب نسخه‌های غیررسمی تلگرام و فایل‌های APK از کانال‌ها و سایت‌های متفرقه برای خیلی از کارکنان عادتی جاافتاده است. گزارشی تازه نشان می‌دهد همین عادت به یک مسیر نفوذ واقعی تبدیل شده است.

به گزارش The Hacker News و بر پایه‌ی یافته‌های پژوهشگری به نام Ovi، ابزاری به نام uCreator یک کیت جاسوس‌افزار اندرویدی است که می‌توان آن را اجاره کرد. این کیت کد مخرب خود را درون نسخه‌هایی از تلگرام و وی‌چت پنهان می‌کند که کاملاً کار می‌کنند. یعنی کاربر برنامه‌ای عادی با همه‌ی امکانات آشنا می‌بیند و دلیلی برای شک کردن پیدا نمی‌کند. اجاره‌ای بودن کیت هم به این معناست که مهاجم برای استفاده از آن به مهارت فنی بالایی نیاز ندارد.

نکته‌ی مهم برای مدیران، مسیر ورود این جاسوس‌افزار است. طبق همین گزارش، uCreator فقط به کسانی می‌رسد که یکی از این نسخه‌های دستکاری‌شده را از بیرون فروشگاه‌های رسمی نصب کنند. در مورد وی‌چت، مسیر دیگر اجرای برنامه درون اپلیکیشنِ «کانتینرِ» خود سازندگان کیت است. گزارش همچنین می‌گوید بخش مربوط به تلگرام در این کیت با Baohuo مطابقت دارد. Baohuo درِ پشتی‌ای است که پیش‌تر شرکت امنیتی Doctor Web آن را شناسایی کرده بود، و این تطابق نشان می‌دهد با تهدیدی پخته و تکرارشونده روبه‌رو هستیم، نه آزمایشی تازه.

شاید فکر کنید فعال بودن رمز دومرحله‌ای کافی است، اما این گزارش خلاف آن را نشان می‌دهد. به گفته‌ی The Hacker News، این جاسوس‌افزار می‌تواند رمز دومرحله‌ای تلگرام را هم بدزدد. منطق ساده‌ای دارد: وقتی خودِ برنامه آلوده باشد، هر چیزی که کاربر در آن تایپ می‌کند از دست کد مهاجم می‌گذرد. رمز دومرحله‌ای جلوی کسی را می‌گیرد که از بیرون وارد حساب می‌شود، نه برنامه‌ای که در گوشی خود کاربر نشسته است.

پیامد تصاحب حساب برای یک کسب‌وکار فراتر از نشت چند پیام شخصی است. مهاجم به گفت‌وگوهای کاری، فایل‌های ارسالی، فهرست مشتریان و گروه‌های داخلی دسترسی پیدا می‌کند. او حتی می‌تواند از حساب یک کارمند واقعی برای مشتری یا همکار پیام بفرستد و درخواست پرداخت یا اطلاعات کند. در ایران، فیلترینگ و جست‌وجوی نسخه‌هایی با پروکسی داخلی یا امکانات اضافه باعث شده این خطر گسترده‌تر از بسیاری کشورها باشد. وقتی گوشی شخصی و کاری هم یکی باشد، این نقطه‌ی نفوذ مستقیم به داده‌های شرکت می‌رسد.

اولین اقدام، تدوین یک سیاست روشن برای نصب اپ است. تلگرام فقط از Google Play یا سایت رسمی telegram.org نصب شود و نسخه‌های ویرایش‌شده و APKهای کانال‌ها صراحتاً ممنوع باشند. فهرست کوتاهی از برنامه‌های مجاز برای کار تهیه کنید و آن را با یک جلسه‌ی کوتاه به همه‌ی کارکنان توضیح دهید. اقدام دوم، جداسازی گوشی کاری است: یا برای نقش‌های حساس گوشی مجزا تهیه کنید، یا دست‌کم از پروفایل کاری اندروید (Work Profile) با مدیریت متمرکز استفاده کنید تا اپ‌های کاری از نصب‌های شخصی جدا بمانند.

اقدام سوم، بازبینی منظم نشست‌های فعال حساب‌هاست. در تلگرام می‌توان از بخش Devices در تنظیمات، همه‌ی دستگاه‌های وصل‌شده به حساب را دید و نشست‌های ناشناس را بست. اما اگر احتمال آلودگی خود گوشی وجود دارد، بستن نشست‌ها به‌تنهایی کافی نیست. در این حالت برنامه‌ی مشکوک را حذف کنید، نسخه‌ی رسمی را نصب کنید، رمز دومرحله‌ای را از یک دستگاه سالم تغییر دهید و سپس همه‌ی نشست‌های دیگر را ببندید.

جاسوس‌افزارهایی مثل uCreator از ضعف فنی سیستم‌عامل سوءاستفاده نمی‌کنند؛ از یک عادت رایج استفاده می‌کنند. خبر خوب این است که بستن این در هم بیشتر به سیاست و فرهنگ سازمانی نیاز دارد تا هزینه‌ی سنگین. پیشنهاد ما این است که همین هفته فهرست کارکنانی را که کار اصلی شرکت را با تلگرام پیش می‌برند تهیه کنید و این سه اقدام را از آن‌ها شروع کنید. اگر برای تدوین سیاست یا راه‌اندازی مدیریت متمرکز گوشی‌ها به کمک نیاز داشتید، یک مشاور امنیتی می‌تواند مسیر را کوتاه‌تر کند.

شروع همکاری