App Store'dan geçtiğimiz günlerde çok çirkin bir sebepten dolayı kaldırılan Telegram uygulaması, uygunsuz içerikleri kaldırarak tekrar mağazadaki yerini almıştı. Olayın şoku daha geçmeden bugün de Telegram'ın masaüstü uygulaması kullanılarak Bitcoin madenciliğinin yapıldığı orataya çıktı.

Araştırmaya göre, Telegram’daki sıfır gün açığı RLO Unicode yönteminden kaynaklanıyor. Bu yöntem daha çok, Arapça ve İbranice gibi sağdan sola yazılan kodlama dillerinde kullanılıyor. Bunun yanı sıra, zararlı yazılım geliştirenler bu yöntemle zararlı dosyaları görsel ya da benzer bir tür dosya şeklinde göstererek kullanıcıları kandırabiliyorlar.

Tespit edilen saldırılarda, saldırganlar dosya adında gizli bir Unicode karakteri kullanarak diğer karakterlerin sırasını ters çeviriyorlar ve böylece dosyanın adı değişmiş oluyor. Bunun sonucunda kullanıcılar gizlenmiş zararlı yazılımı bilgisayarlarına indirip kuruyorlar.

Yapılan analizler esnasında, saldırganların bu açıktan farklı şekillerde faydalanabildiklerini belirledi. Açık öncelikle madencilik yazılımı kurmak için kullanılıyor.

Bu da kullanıcılara epey zarar verebiliyor. Kurbanların bilgisayarlarının işlem gücünü kullanan siber suçlular, aralarında Monero, Zcash, Fantomcoin’in de olduğu birçok farklı kripto para birimini üretiyorlar.

Açıktan faydalanmayı başaran siber suçlular, Telegram API’ını komut ve kontrol protokolü olarak kullanan bir arka kapı da yükleyebiliyorlar. Böylece kurbanın bilgisayarına uzaktan erişim sağlanıyor. Kurulmasının ardından gizlice çalışmaya başlayan bu yazılım, saldırganın ağda fark edilmeden çeşitli komutlar çalıştırmasını sağlıyor.