仮想通貨ハッキング事例 - 003 Telegram利用者要注意｜現在進行中の攻撃 / 被害額不明

2021年12月30日 2021年12月31日

Henry. W

Henry

2021/12/31 追記

怖いウイルスが見つかったから、今後のことも加味して、今のうちから周りの人達にテレグラムの設定を高めたほうが良いよと伝えるために、最近見つかったウイルスの事に関する記事を投稿したら、想像以上に多くの方が訪れる結果となりました。

設定を変更して安心したというお声もいただけました。

それと同時に、当該記事の内容に関する一部を実際のソース元まで辿り、ご指摘もいただきました。

年末という時期も重なり、余計な不安や混乱を生み出さないためにも、ご指摘いただいた内容につきましては、そのまま下記に引用させていただきます。

Twitter ID @katakoto さんには、この場を借りて改めてお礼申し上げます。

「え？これってゼロクリック攻撃なの？」
と僕も慌てて設定を変えたがSourceをよく読むと

・ユーザー側がクリックしない限り影響はない
・DLされるのはrarファイルなのでWindowsが対象

今後、ゼロクリック攻撃に進化する可能性を考えての警告だった。少し安心した。 https://t.co/nYmNwU5FLS
— katakoto (@katakoto) December 31, 2021

@katakoto氏のツイートより引用

非常にありがたいツイートです。

Henry

ソース元の記事は、専門性が高かったため、私の記事では

①ウイルスに対する「注意喚起」
②Telegramの設定変更により「守り」を固める

の2点に重点を置いて、ソース元を簡略化した部分があります。

一部の読者の皆様には余計な不安が先行してしまったかもしれません。
年末の慌ただしい中、余計な不安を感じさせてしまったら申し訳ありません。

ウイルスは日に日に進化していっているので、この記事を通して「守り」を固められたと思っていただければ幸いです。

はじめに

Henry

年内最後の記事は、こちらにすることにしました。

エアドロじゃないんかい。

Henry

エアドロで獲得したトークンが盗まれては、元も子もないので「守り」重視にしました。

このお休みの期間に狙ってくる輩も多いと思うので、このブログの読者の皆様には年越し前に守りの体制を整えていただきたい。

この投稿では、"マルウェア"という用語を多用しますが、”ウイルス"もしくは”コンピューターウイルス"と同じ意味です。

Telegramを使ったハッキング

https://twitter.com/officer_cia/status/1474724675930447875?s=20

@officer_cia氏のツイートより

Henry

これですね、25日に情報がTwitter上で出回りました。

SafeGuide Cyberが見つけたウイルスです。
当該記事で参考にした記事は、ページ下部のLINKをご確認ください。

この攻撃は、Telegramのチャットルームに "Smokes Night"という名前のユーザーがエシュロンタイプのマルウェアファイルを投稿し、もし該当のチャットルームに参加しているユーザーがTelegramの設定で"Auto Downloading"をDisableにしていない場合は、自動的に各ユーザーのスマホにダウンロードされて、ウイルスファイルが発動する内容の物です。

発動したら、どうなるの？

Henry

1. ウォレットの中身全て抜き取られる。
2. 指紋情報を盗まれる。
3. IPアドレスが検出される。
4. 感染したデバイスのスクリーンショットが撮られる。

恐怖指数MAXのウイルスです。

下記が、現在Smokes Nightからの攻撃で対象になった仮想通貨ウォレットです。

- Armory
- AtomicWallet
- BitcoinCore
- ByteCoin
- DashCore
- Electrum
- Exodus
- Ethereum
- Jaxx
- LitecoinCore
- Monero
- Zcash
https://cisomag.eccouncil.org/echelon-malware-posted-on-cryptocurrency-trading-telegram-channel-targets-crypto-wallets/

Henry

幸い、MetamaskやTrust Wallet、SafePal、Mathwalletなど日本人ユーザーが頻繁に利用しているWalletは含まれていないのが現状ですが、今後は攻撃先が広がると考えておいても良いかもしれません。

Telegramの設定方法

Henry

ここでは、上述したエシュロン型のウイルスを自動的にダウンロードしないための設定方法をご紹介します。

確認する所は、10ヶ所。

既に設定済みという方も多いと思いますが、念の為確認することを推奨します。

また、これから先、より洗練されたエシュロン型のウイルスが出来上がることも加味して、今の段階から設定しておくのが無難かと思います。

それでは、設定していきましょう。

Telegram 設定方法 - Part. 1

まず、"Settings" → "Privacy and Security"に進んでください。

【Phone Number】
"Who can see my phone number" では、 "Nobody" を選択する。
【Phone Number】
" Who can find me by my number "では、" My Contacts"を選択する。
【Last Seen & Online】
"Who can see my timestamp"では、"Nobody"を選択する。
【Profile photo】
"Who can see my profile photo" では、" My Contacts"を選択する。
【Calls】
"Who can call me" では、 "My Contacts" もしくは "Nobody" を選択する。
【Calls】
"Peer-to-peer" では、 "My contacts" を選択する。もし、Chat内の仲間へIPアドレスを共有したくない場合は、 "Nobody"を選択する。
【Forwarded Messages】
"Who can add a link to my account when forwarding my messages" では、"My Contacts"を選択する。
【Groups & Channels】
"Who can add me" では、"My Contacts"を選択する。

Telegram 設定方法 - Part. 2

次に、"Settings" → "Data and Storage"に進んでください。

【Data and Storage】
"Auto Download Media Download" → "Using Cellular" →"Auto-Download Media"をOFFにする。
【Data and Storage】
"Auto Download Media Download" → "Using Wi-Fi" →"Auto-Download Media"をOFFにする。

Henry

以上となります。
必要に応じて、設定ください。

Telegram以外にDiscordも!? 現在判明している攻撃対象のプラットフォーム一覧

Henry

実は、Telegram以外にもエシュロン型のウイルスは拡散されています。
下記が、現在判明している攻撃先となったプラットフォーム一覧です。

- Discord
- Edge
- FileZilla
- NordVPN
- OpenVPN
- Outlook
- Pidgin
- ProtonVPN
- Psi(Jabber)
- Telegram
- TotalCommander
https://cisomag.eccouncil.org/echelon-malware-posted-on-cryptocurrency-trading-telegram-channel-targets-crypto-wallets/

おわりに

Henry

さて、年末のご挨拶の記事を除けば、こちらが年内最後の記事となりました。
10月から立ち上げて、はや3ヶ月。
大変お世話になりました。

いつも訪れていただいている方も、この記事で初めて訪れた方も、最後までお読みいただきありがとうございます。

最後は、まさかの防御法に関する記事となりましたが、せっかく増やしたトークンを盗まれては元も子もありません。守りを固めて新年を迎えるのも良いのではないでしょうか。

このSmokes Nightからのウイルスは、恐怖指数MAXのウイルスですが、焦らず時間がある時に設定する/しないは決めてください。上記の設定を行った場合、チャットルーム内のgifも見れなくなるというデメリットもあります。

それでは、皆様良いお年を！

ゆっくり休むんダヨ。
食べすぎない、飲みすぎない。