Telegram 一般機器人傳送小工具遭拒　卡巴斯基示警惡意程式

Telegram 一般機器人無法傳送 HTML 小工具，開發者回報在私人對話中也遭拒。

一名開發者在 Telegram Bot API 儲存庫的回報中表示，傳送約從 11 月 13 日晚間 11 時 50 分（台灣時間）起失敗；原始紀錄時間為當日 15 時 50 分（UTC）。

開發者說，在錯誤發生前，同一個機器人已在同一個聊天室傳送約 120 個小工具。之後傳送請求遭拒，並顯示 INPUT_MEDIA_WIDGET_NOT_ALLOWED 錯誤。

儲存庫貢獻者回覆，目前一般機器人即使在私人對話中也無法使用小工具，但未說明限制原因或預計解除時間。

Telegram 於 11 月 9 日在 Bot API 10.4 加入小工具傳送功能 sendWidget。Bot API 變更紀錄及 15 日查閱的官方小工具文件都寫明，正式環境中的私人對話可以傳送小工具，與開發者回報及儲存庫回覆所描述的實際狀況有所出入。

HTML 小工具是以 HTML、CSS 和 JavaScript 製作的互動元素，可在聊天訊息中運作，讓使用者不必離開對話畫面就能與其互動。

Telegram 表示，小工具中的 JavaScript 會在無法存取網路的 QuickJS 環境中執行。這是官方文件說明的小工具執行方式。

卡巴斯基（Kaspersky）表示，曾觀察到有人造訪部分 Telegram 頻道時，PowerShell 指令碼會在使用者不知情下執行，下載並啟動 WebRAT（Salat Stealer）。卡巴斯基官方貼文指出，這種惡意程式會在受感染的電腦上執行。

卡巴斯基表示，WebRAT 可遠端控制受感染的電腦，並竊取虛擬資產錢包及 Telegram 帳戶資料。目前無法確認這次活動是否真的造成錢包資訊或帳戶遭竊。

Telegram 公開的 QuickJS 儲存庫中出現一項程式碼變更，處理函式返回後仍可存取記憶體的路徑。這項修改針對的是函式返回後仍留下記憶體參照的問題。

這項程式碼變更本身無法證明卡巴斯基觀察到的活動使用了相關攻擊途徑。公開修改內容與惡意程式散布活動之間的因果關係也尚未確認。

Telegram 小工具文件說明，使用者提出要求後，機器人可以收到 TON 錢包卡片的地址與餘額。本刊先前曾報導，Telegram 訊息小工具新增 TON 支付功能。

透過小工具提出交易時，應用程式會在錢包視窗顯示目的地址與金額，並由使用者確認。錢包卡片傳送的資訊，與惡意程式可能從受感染裝置竊取的錢包相關資料，應分開看待。

Telegram 創辦人帕維爾·杜羅夫（Pavel Durov）在官方頻道表示：「只接收訊息不會遭到駭客入侵。」他說，使用者必須自行啟動第三方服務，攻擊才可能發生，且伺服器端也已封鎖這條途徑。這項說法將攻擊成立條件指向使用者主動啟動第三方服務。

卡巴斯基觀察到的是使用者造訪頻道時，指令碼在不知情下執行；杜羅夫則表示，必須由使用者自行啟動第三方服務才可能遭受攻擊。兩人的說法對攻擊啟動條件描述不同。

本刊先前也曾報導 Telegram Android 版在機器人聊天後啟動計算機應用程式的示範，以及更新發布情況。該報導涉及 Android 漏洞與應用程式更新；這次開發者回報則是一般機器人傳送小工具時發生錯誤。