CVE-2019-15514

Typ: Informationsoffenlegung

Betroffene Benutzer, Versionen, Geräte: Alle Telegram-Nutzer

Immer noch nicht behoben/gepatcht. brute.py ist ein unter Python geschriebener Exploit verfügbar.

Beschreibung

Angenommen, ali ist ein Hacktivist. Seine Telegram-Benutzer-ID ist 21788973 und seine Mobilnummer ist versteckt. Er lebt in Pakistan (+92). Wir können jeden Benutzer über die Telefonnummer als Kontakt hinzufügen. Wir werden Telefonnummern im Bereich von +92-0000000000 bis +92-9999999999 hinzufügen. Wenn also eine Nummer erfolgreich hinzugefügt wird und diese Benutzer-ID 21788973 ist, bedeutet das, dass alis Nummer erfolgreich offengelegt wurde!

Hinweis: Alle oben genannten Informationen sind hypothetisch.

Denken Sie daran, der aktuelle Beispielbereich war 9 Stellen lang. Wir können ihn durch Social Engineering, SIM-Code-Kenntnisse, Passwort-Zurücksetzungen (insbesondere Gmail, PayPal) weiter reduzieren... Je niedriger der Bereich, desto weniger Zeit wird benötigt.

Hintergrund

Dieser Bug wird schon lange in freier Wildbahn ausgenutzt. Dies veranlasste uns, ihn zu untersuchen und seinen Exploit als Open Source zu veröffentlichen, damit Telegram ihn bald patcht.

Proof of Concept

Wortliste generieren:

Angenommen, wir haben ein Telegram-Opfer, dessen Nummer mit 92313 beginnt, mit 89 endet und dazwischen 5 unbekannte Ziffern hat. Wir werden alle Kombinationen der Zahlenliste im Bereich 92313-xxxxx-89 generieren.

Verwenden Sie num_gen.py. Es schreibt die Zahlen in 92313xxxxx89.txt. Vorher müssen Sie Folgendes bearbeiten:

• prefix: eine Zahl sollte damit beginnen. Im Beispiel ist es 92313
• middle_range: Gesamtzahl der Ziffern des unbekannten mittleren Bereichs. Im Beispiel ist es 5
• suffix: eine Zahl sollte damit enden. Im Beispiel ist es 89

Brute Force:

• *phone: geben Sie Ihre Telefonnummer inklusive Ländervorwahl ein, ohne Leerzeichen oder + (Plus)

• *api_id: erstellen Sie eine App und fügen Sie die API-ID ein. Weitere Informationen

• *api_hash: erstellen Sie App und API-Hash. Weitere Informationen

• *numlist: der Pfad zu Ihrer Nummernliste oder Wortliste

• *username_or_id: geben Sie die numerische ID oder den Benutzernamen (ohne @) des Opfers ein. Verwenden Sie besser kotatogram, da es die Anzeige der Benutzer-ID im Profil unterstützt.

• use_proxy: Proxy aktivieren oder deaktivieren

• proxy_server: Domain oder IP des Proxy-DNS

• proxy_secret: hex-kodiertes Geheimnis des Proxys, das als Passwort dient

• proxy_port: numerischer Port, meistens 443

• should_resume: Fortsetzungsfähigkeit. Ob dort weitergemacht werden soll, wo die Zahlen aufgehört haben?

• threads: Anzahl der Zahlen, die bei jedem Versuch getestet werden. Nicht erhöhen, sonst funktioniert es nicht.

Funktionen:

1. Multithreading, d.h. es werden 19 Zahlen gleichzeitig geprüft
2. Fortsetzungsfähigkeit
3. Wartet bei Sperrung, die Wartezeit entspricht der Zeit, die Telegram blockiert
4. genaue Ergebnisse

Danksagungen:

• Telethon für die Bereitstellung einer einfachen Bibliothek, Telethon-Community für Hilfe zur API-Nutzung
• swagkarna für Inspiration

Ich liebe ALLAH + den Heiligen Propheten + den Islam und Pakistan.