Lỗ hổng đang khai thác tấn công người dùng Telegram Windows bản mới nhất qua thực hiện mã thực thi RCE. (Mình xác thực là đã có mã khai thác được công khai chia sẻ, trên 1 nhóm kín.). Các bạn có thể xem video demo khai thác tấn công này nguy hiểm như thế nào nhé.

Thông qua một lỗi rất nhỏ của dev khi code đánh nhầm 1 chữ trong phần mở rộng extension zipapp python, mà chính xác trên Windows phải là pyzw thay vì pywz, lỗi đánh máy typo này có thể dẫn đến việc thực thi mã khai thác tấn công mà không có bất kỳ thông báo nào từ phía máy tính nạn nhân.

(Ngày 8/4 là ngày có cảnh báo về lỗi này trên 1 số diễn đàn hacker của Nga. Và sau đó ngày 10/4, có người báo cáo đầu tiên về lỗi typo này trên Github của Telegram là: el-garro - xem thêm: github.com/telegramdesktop/tdesktop/pull/27737)

Lỗi này tuy nhỏ, nhưng impact gây ra lớn, vì nó cho phép hacker thực hiện các cuộc tấn công nhầm chiếm quyền kiểm soát máy tính Windows, cho phép hacker che giấu các tệp thực thi dưới bất kỳ loại tệp nào (ảnh/video). Ngoài ra, trên một số phiên bản Telegram Windows, việc download có thể được thực thi tự động nếu tính năng tự động tải xuống tệp tin media được bật. Chongluadao đã thực hiện khai thác demo trong video đính kèm và thành công trong phiên bản trước 4.16.6

Đây là 0day và nó có thể được sử dụng theo nhiều cách khác nhau, lỗ hổng này rất nguy hiểm.

Đảm bảo tắt tính năng tự động tải xuống video, ảnh và không nhấp vào tải về tệp tin ảnh hay video ngẫu nhiên trên các nhóm, kênh công khai, hoặc bất kỳ ai đó gửi cho bạn (ảnh/video).

Làm theo các bước sau:
1. Đi tới Cài đặt.
2. Nhấn vào Dữ liệu và lưu trữ.
3. Trong phần Tải xuống tự động, tắt tính năng tự động tải xuống cho "Ảnh", "Video" và "Tệp" trên tất cả các loại mạng (Dữ liệu di động, Wi-Fi và Chuyển vùng).

Vì vậy hãy cẩn thận khi sử dụng Telegram Windows, nếu có bất kỳ ai sử dụng lỗ hổng này.

Update: Tính tới 2 giờ sáng giờ VN, thì Telegram đã có bản update mới nhất say 4.16.6 đã fix bug nghiêm trọng trên. Vì vậy, người dùng cần nhấn Update ngay để được an toàn.

Bão lũ đã khổ lắm rồi, vậy mà nỡ lòng nào bọn nó cũng không tha. Dẫn dụ bằng lòng thương xót qua những hình ảnh được tạo bằng AI như này để lừa tiền từ thiện. Quá ác và nhẫn tâm.

Nếu mọi người có thể góp sức để giúp đỡ đồng bào miền Bắc thì có các thông tin tài khoản chính thống như sau

Số tài khoản Mặt trận Tổ quốc Việt Nam được công bố như sau:

(1) Tài khoản tại Kho bạc

Tên Tài khoản: Văn phòng Uỷ ban Trung ương Mặt trận Tổ quốc Việt Nam

Số Tài khoản: 3713.0.1058784.00000

Mã đơn vị quan hệ ngân sách: 1058784

Tại Sở giao dịch Kho bạc Nhà nước

(2) Tài khoản tại ngân hàng

a. Tài khoản Việt Nam

Tên Tài khoản: Mặt trận Tổ quốc Việt Nam - Ban Cứu trợ Trung ương

Số Tài khoản: 0011.00.1932418

Tại Sở giao dịch Ngân hàng Thương mại cổ phần Ngoại thương Việt Nam.

b. Tài khoản ngoại tệ

Tên Tài khoản: Mặt trận Tổ quốc Việt Nam - Ban Cứu trợ Trung ương

Số Tài khoản: 001.1.37.193253.8

Tại Sở giao dịch Ngân hàng Thương mại cổ phần Ngoại thương Việt Nam.

SW Code: BFTVVVNX001.

(3) Tiếp nhận ủng hộ bằng tiền mặt

Phòng Kế hoạch-Tài chính (phòng 109, phòng 111) Văn phòng Cơ quan Ủy ban Trung ương MTTQ Việt Nam số 46 Tràng Thi – Hà Nội.

Trên đây là Số tài khoản Mặt trận Tổ quốc Việt Nam ủng hộ bão Yagi (bão số 3).

Cầu nguyện cho mọi người được bình an, thương yêu Việt Nam ơi ❤️🇻🇳

Chào mọi người,

Mong rằng các bạn sẽ dành chút thời gian để đọc và chia sẻ thông điệp này. Cảm ơn các bạn rất nhiều!

Mặc dù đã nhắc đi nhắc lại nhiều lần, nhưng Chongluadao muốn tổng kết lại một số điểm quan trọng để mọi người có thể tự bảo vệ mình, tránh rơi vào tình huống bị lừa đảo trong dịp lễ Tết cuối năm sắp tới:

1/ Nhóm Chongluadao hoạt động hoàn toàn phi lợi nhuận. Nếu bạn cần hỗ trợ liên quan đến an ninh mạng hoặc báo cáo về những hành vi lừa đảo, đừng lo về vấn đề tiền bạc. Chúng tôi hoàn toàn miễn phí.

2/ Cảnh giác với những người liên hệ qua mạng xã hội và tự xưng là anh Hiếu PC hay chúng tôi hoặc bảo rằng họ quen biết anh Hiếu PC hay chúng tôi. Đó đều là những kẻ lừa đảo. Đặc biệt, nếu họ nói rằng có thể giúp bạn lấy lại tiền đã mất trong vụ lừa đảo, thì càng không nên tin.

3/ Để tránh bị lừa đảo trên không gian mạng, chỉ cần sống chậm lại và kiểm chứng thông tin kỹ càng. Đừng kết bạn với người lạ trên mạng, vì thế giới ảo đầy rẫy những kẻ giả mạo, hình ảnh bị chỉnh sửa. Đặc biệt, đừng tin những ai khoe khoang về sự giàu có hay cuộc sống sang chảnh trên mạng, và càng cẩn thận hơn nếu họ mời bạn tham gia đầu tư vào những dự án không rõ ràng. Nguyên tắc vàng là: "Không ai cho không cái gì cả, nếu có thì không phải đến lượt mình." Các chiêu trò như vụ Mr. Pips chính là điển hình của việc lợi dụng lòng tham của người khác.

Hãy chia sẻ thông tin này để giúp đỡ nhau, cùng nhau bảo vệ bản thân khỏi các mối nguy hiểm trong không gian mạng!

Cảm ơn các bạn!

Báo cáo gần đây từ các nạn nhân cho thấy một xu hướng rõ rệt: nhiều kẻ lừa đảo hoạt động từ các "trại lừa đảo" trong khu vực Đông Nam Á, đang chuyển từ Telegram sang Signal làm nền tảng liên lạc chính. Có vẻ như chúng muốn "đổi gió", nhưng chiêu trò thì vẫn y như cũ.

Các mánh khóe quen thuộc bao gồm: các nền tảng đầu tư tài chính giả mạo, lừa đảo tình cảm, và mạo danh người khác. Điểm khác là chúng giờ "dẻo miệng" hơn, tiếp cận nạn nhân qua mạng xã hội, xây dựng lòng tin rồi dụ dỗ họ qua Signal để tiếp tục thực hiện hành vi lừa đảo. Nên nhớ, nếu đột nhiên một "nàng thơ" hoặc "soái ca" xuất hiện ngọt ngào bất ngờ trên mạng, tốt nhất là phớt lờ hoặc chặn ngay lập tức. Đừng để trái tim yếu mềm mà ví rỗng túi nhé!

Sự thay đổi này cho thấy chúng ta cần cảnh giác hơn, không chỉ với một ứng dụng, mà trên tất cả nền tảng. Cứ chậm lại, kiểm tra kỹ danh tính, rà soát cơ hội đầu tư và tuyệt đối không chia sẻ thông tin nhạy cảm trên mạng.

Nếu không may gặp phải những trò lừa đảo này, hãy báo cáo ngay cho cơ quan chức năng để bảo vệ mọi người. Và nhớ, online rất rất hiếm khi có tình yêu đích thực, chỉ có scam tinh tế thôi!

#StealthMole #chongluadao