CVE-2019-15514

Type : Divulgation d'informations

Utilisateurs, versions, appareils concernés : Tous les utilisateurs de Telegram

Toujours non corrigé / non patché. brute.py est un exploit disponible écrit en python.

Description

Supposons que ali soit un hacktiviste. Son identifiant Telegram est 21788973 et son numéro de mobile est masqué. Il vit au Pakistan (+92). Nous pouvons ajouter n'importe quel utilisateur à nos contacts grâce à son numéro de téléphone. Nous allons ajouter les numéros de téléphone de la plage +92-0000000000 à +92-9999999999. Ainsi, si un numéro est ajouté avec succès et que son identifiant est 21788973, cela signifie que le numéro d'ali est divulgué avec succès !

Remarque : Toutes les informations ci-dessus sont hypothétiques.

Rappelez-vous, la plage de l'exemple actuel faisait 9 chiffres. Nous pouvons la réduire davantage grâce à l'ingénierie sociale, à la connaissance des codes SIM, aux réinitialisations de mot de passe (notamment gmail, paypal)... Plus la plage est réduite, moins cela prendra de temps.

Contexte

Ce bogue a été exploité dans la nature depuis longtemps. Cela nous a incités à enquêter et à publier son exploit en open source afin que Telegram le corrige rapidement.

Preuve de concept

Générer la wordlist :

Supposons que nous ayons une victime Telegram dont le numéro commence par 92313, se termine par 89 et contient 5 chiffres inconnus entre les deux. Nous allons générer toutes les combinaisons de numéros dans la plage 92313-xxxxx-89.

Utilisez num_gen.py. Il écrira les numéros dans 92313xxxxx89.txt. Avant cela, vous devez modifier les éléments suivants :

• prefix : le nombre doit commencer par. Ici, par exemple, 92313
• middle_range : nombre total de chiffres de la plage intermédiaire inconnue. Ici, par exemple, 5
• suffix : le nombre doit se terminer par. Ici, par exemple, 89

Force brute :

• *phone : insérez votre numéro de téléphone avec l'indicatif du pays, sans espaces ni signe + (plus)

• *api_id : créez une application et insérez l'API ID. en savoir plus

• *api_hash : créez une application et insérez l'API hash. en savoir plus

• *numlist : le chemin vers votre liste de numéros ou wordlist

• *username_or_id : insérez l'ID numérique ou le nom d'utilisateur de la victime sans @. Mieux vaut utiliser kotatogram car il permet d'afficher l'ID utilisateur dans le profil.

• use_proxy : activer ou désactiver le proxy

• proxy_server : domaine ou IP du DNS du proxy

• proxy_secret : secret du proxy encodé en hexadécimal servant de mot de passe

• proxy_port : port numérique, principalement 443

• should_resume : capacité de reprise. Faut-il reprendre là où les numéros se sont arrêtés ?

• threads : nombre de numéros à essayer à chaque tentative, ne l'augmentez pas sinon cela ne fonctionnera pas

Fonctionnalités :

1. multi-threadé, c'est-à-dire vérifie 19 numéros à la fois
2. capacité de reprise
3. attend en cas de blocage ; le temps d'attente est égal à la durée du blocage de Telegram
4. résultats précis

Crédits :

• Telethon pour avoir fourni une bibliothèque facile à utiliser, communauté Telethon pour l'aide concernant l'utilisation de l'API
• swagkarna pour l'inspiration

J'aime ALLAH + le Saint Prophète + l'Islam et le Pakistan.