近期,跨平台的即时通讯软件Telegram盗号事件频发,不法分子通过非法手段盗取用户Telegram账号,并以冒充好友的方式进行。
针对近期的盗号事件,Beosin?安全研究部为大家梳理了Telegram?常见的方式,教大家如何警惕与防范。
一、方式
?取?TG?验证码截图
最近比较新颖的盗号,者冒充好友的身份以各种理由取聊天页面截图,看似毫无危险,但此刻子正在尝试利用你的手机号码登陆?Telegram,当发送的截图页面包含了官方发送的登陆验证码,即会被子利用成功登陆你的?TG?账号。取详细流程如下:
1.首先获取你?TG?账号的电话号码。
如果你的?TG?账号隐私设置成任何人可见,则会被陌生账号看到手机号码;或是子首先获取到你好友的账号,然后查询到你的手机号。
2.取登陆验证码。
子以各种理由,告诉你账号有问题,取你的聊天截图。同时,子在一台新设备输入你的手机号码尝试登陆。
例如以下两种话术类型:
聊天界面中有两个相同的联系人:当对某个联系人开启了加密聊天时,聊天列表就会出现两个相同的联系人,如下图加密的聊天通信会在名字前加一把锁。
谷歌搜索趋势:如何购买黄金和比特币的搜索量激增:金色财经报道,在美国银行业动荡期间,谷歌趋势显示与黄金收购相关的搜索量显着激增,搜索查询在 2023 年 4 月的第一周达到满分 100。同样,搜索两周前,即 2023 年 3 月 20 日,术语“如何购买比特币”达到了相同的分数。除了黄金,谷歌趋势数据还显示,人们对黄金的兴趣在搜索词“如何购买比特币”中的排名也有所上升,根据 90 天的统计数据,在 2023 年 3 月 20 日达到了 100 的高分。Bitcoin.com News数据显示,从 3 月中旬到 4 月,搜索查询“比特币”也在增加。[2023/4/28 14:32:37]
好友辅助解封账号:子称账号被官方限制,需要好友发送验证码帮忙解封账号。
3.登录你的账号继续。
当你在不经意间把包含登陆验证码的聊天截图发给对方时,如果账号没开启两步验证,子则可以通过验证码直接登陆你的账号。随后子会删掉所有的设备,更改密码,然后继续通讯录中的其他人。
神鱼:准备写耕田日记介绍如何5天挖回500万U:F2Pool联合创始人神鱼在微博表示,准备写个耕田日记,如何5天挖回500万U。 ????神鱼补充说,没仔细算,本金大概500万U。[2020/9/2]
?冒充官方的短信
短信冒充Telegram?官方账号,声称该用户的?TG?账号违反了账号使用规则将被限制使用,需要登陆网站解除受限。如果用户不慎点击链接,账户就会被盗。
?带后门的第三方程序
由于?Telegram?没有中文安装包,普通用户通常会使用第三方搜索引擎来查找对应的中文安装程序,因此分子通过?SEO?优化为自己的?Telegram?中文版下载网站引流,诱导用户下载排名前列的应用程序。
当用户下载使用了带有后门的?TG?程序,会被自动检测聊天中的区块链地址,并且当检测到用户聊天消息中的钱包地址时,会将钱包地址替换成分子自己的地址,造成用户资金损失。
如下案例中,用户在?http://www.telegram-china.org链接下载一个中文版的客户端,然后通过这个中文版发送一个?trx?的钱包地址:
英格兰银行正在探讨如何将CBDC引入现有市场:英格兰银行(BoE)正在权衡发行以英镑为单位的央行数字货币(CBDC)的利弊。他们刚发布了一份长达57页的报告,探讨了如何将CBDC引入现有市场,既充当价值存储又用于日常交易。据悉,英国中央银行逐渐意识到,数字英镑可能会破坏当前的银行体系。但是,数字货币可以利用最新的金融科技,使消费者更轻松快捷地进行交易。(Cointelegraph)[2020/3/13]
Beosin?测试结果
此时,发送的钱包地址为:TNpEa?9?PoqWsoPcTdTqUUdrYJbqhVLoSVFh
然后关闭软件重新打开发现钱包地址被替换为另外一个地址。
Beosin?测试结果
?恶意?Telegram?汉化语言包
前段时间某?TG?汉化频道被曝光是仿冒频道,真正的简体中文语言包维护频道是https://t.me/zh_CN,因缺乏人员支持目前翻译工作已停止。该仿冒频道被曝光时有近八十万的关注者,其传播的语言包是一个带有后门的安装文件。
传真格基金创始人徐小平呼吁各CEO了解区块链 学习如何拥抱这场革命:据某互联网知名博主爆料,真格基金创始人徐小平在真格基金投资组合微信群呼吁各CEO积极了解区块链,并立即动员全体高管和员工,学习如何拥抱这场革命。[2018/1/9]
安全人员分析该语言包文件是一个下载器,运行后会下载各种模块并尝试绕过安全软件的检测。除此之外,该样本使用了检测鼠标移动等方式绕过沙箱分析。
?Telegrambot?窃取密码
国外安全研究员发现,有犯罪组织利用?Telegram?机器人窃取用户?OTP?令牌和?SMS?验证码以完成?2?FA。攻击者使用?Telegram?机器人获取帐户信息,包括致电受害者、冒充银行和合法服务等。通过社会工程,攻击者还人们通过移动设备向他们提供?OTP?或其他验证码,然后子用这些代码来取用户账户中的资金、密码、会话?cookie、登录凭据和信用卡详细信息。
?“加密货币投资”局
者冒充?Telegram?上的加密货币专家,宣传对加密货币投资有回报的承诺。者会通过?Twitter评论,或直接在?Telegram?上与你联系,声称能够为你提供高额的投资回报。
印度数字货币交易所要求政府澄清如何收税:印度政府一直在打击数字货币相关的逃税行为,但是没有提供明确的指导方针规定如何收税,七家数字货币交易所正在要求监管机构进行澄清。Khaitan&Co律师事务所合伙人Abhishek A Rastogi认为税率将取决于政府把比特币当作货币,商品还是服务。[2018/1/7]
如果参与,者会要求你在他们的特殊加密货币交易所开设一个账户。届时,他们会向你展示表明你的投资正在增加的图表,但是当你试图取出你的收入时,子连同你的账户就会消失。
Beosin?安全建议
针对?Telegram?的安全使用,避免被盗和资金损失,我们提出了以下参考建议。
?开启两步验证
为了账号安全,及时设置两步验证密码。该密码只会在新登录?Telegram?时被要求输入。
打开Setting>PrivacyandSecurity>Two-stepVerification进行设置,并建议在后续步骤中设置安全邮箱,目的是在忘记两步验证密码的情况下,可以通过安全邮箱进行重置密码。
?谨慎使用第三方客户端
检查自己的软件下载途径,如果是网页搜索下载的安装包,建议直接卸载后去官网重装。第三方客户端有能力获取和控制你的账户,读取你全部的聊天记录,收集你设备的可识别信息,安全起见,务必通过?Telegram?官网下载使用软件。
?不向电报机器人发送敏感个人信息
谨慎使用电报机器人服务,不泄露个人数据,包括姓名、用户名、手机号、电子邮件地址、密码数据或可用于识别您身份的任何信息。
?警惕陌生人私信
陌生人私聊不要轻易相信,提高警惕,避免造成资金损失或被盗取信息,如果被打扰可以选择屏蔽;收到的陌生文件、链接不轻易点击。
?转账地址验证
发送钱包地址与对方多次沟通验证;以截图钱包二维码的形式向对方发送钱包地址,对方通过扫码识别钱包地址。
?定期查看?Telegram?的登陆设备
定期查看设备?IP?登陆状态,对有异常登录的设备?IP?强制下线。
?添加联系人时取消分享手机号码
Telegram?只有?Contact(联系人),没有“好友”的说法。添加和删除联系人是单向操作,即你添加或删除某个联系人,并不会导致你在对方联系人列表中被添加或者被删除。因此注意在添加联系人时,取消?ShareMyPhoneNumber(分享我的手机号码),该选项会被默认勾选。
?隐藏手机号和加群限制等
在设置–>隐私与安全中选择设置隐藏手机号、上线状态、头像、转发消息等;设置账号不被非好友拉入陌生群,减少被概率;不使用?Telegram?附近的人功能。
Beosin?官网上线安全验证功能
同时,为了防范?Telegram、Twitter?等平台的“冒充”,Beosin?官网目前上线了安全验证功能。
客户可以输入与您联系的Beosin的员工名片信息,如果通过验证,那就是安全的。
相反,如果不通过,那可能您遇到的是冒充?Beosin?员工的子,大家要多加防范。
好了,今天的安全分享就结束了,我们下期再见。
Beosin?是一家全球领先的区块链安全公司,在全球?10?多个国家和地区设立了分部,业务涵盖项目上线前的代码安全审计、项目运行时的安全风险监控、预警与阻断、虚拟货币被盗资产追回、安全合规?KYT/AML?等“一站式”区块链安全产品+服务,目前已为全球?2000?多个区块链企业提供安全技术服务,审计智能合约超过?3000?份,保护客户资产高达?5000?多亿美元。
原文:Beosin
来源:星球日报
标签:TELLEGEGRELEstellar币维护节点RimsofLegendPepeTheGroveextendelem
谈论Web3产品时,你首先会联想到什么?热点叙事、新技术、经济模型、去中心化或数据归属权....当这些词语高频出现时,一个更接近商业本质的词语似乎被忽略了:收入。大部分的产品应用,都基于商业目的而创建,归根结底是需要盈利的.
1900/1/1 0:00:00编译:GaryMa吴说区块链Coinbase官宣孵化L2网络Base一度让市场沸腾,根据官方描述,Base是基于OPStack技术堆栈构建的一个以太坊二层网络,本文归纳总结了与之相关的几大要点,方便读者了解.
1900/1/1 0:00:00发力AI近十年,百度正在迎来最好的机遇。2月22日晚间,百度发布2022年Q4及全年未经审计的财务报告。2022年全年,百度实现营收1236.75亿元,归属百度的净利润206.8亿元,同比增长10%.
1900/1/1 0:00:00在告别灾难性的2022年后,1月份以比特币为代表的主流加密货币迎来暴涨,拉开了2023年加密市场发展的序幕。随着美国通胀继续缓和,比特币价格飙升至几个月来的最高水平.
1900/1/1 0:00:00来源:《对话黄立成:从明星艺人到猴子教父,NFT大割是如何练成的?》撰文采访:Heavenraven麻吉大哥,黄立成,如果你关心NFT,你一定听过这个名字.
1900/1/1 0:00:002018年7月,万向集团董事长肖风博士在一次演讲中提到:“区块链行业有可能出现5万亿级别的公司”。当时,整个加密货币市场的总市值刚刚超过2000亿美元,经过一整年的下跌,这个数字来到了1000亿美元.
1900/1/1 0:00:00