텔레그램 일반 봇 위젯 오류 보고…카스퍼스키 악성코드 경고

일반 봇이 HTML 위젯을 보내지 못했다는 개발자 보고가 나왔다. 텔레그램 Bot API 저장소 기여자는 비공개 대화에서도 일반 봇이 위젯을 사용할 수 없다고 답했다.

텔레그램 Bot API 저장소에 올라온 보고에서 개발자는 11월 14일 오전 0시 50분쯤부터 전송이 실패했다고 적었다. 이는 13일 오후 3시 50분(UTC)으로 기록된 시각을 한국시간으로 환산한 것이다.

개발자는 같은 봇과 대화방에서 오류가 나기 전까지 위젯 약 120개를 보냈다고 설명했다. 전송 요청은 INPUT_MEDIA_WIDGET_NOT_ALLOWED 오류와 함께 거부됐다.

저장소 기여자는 현재 일반 봇은 비공개 대화에서도 위젯을 쓸 수 없다고 답했다. 답변은 제한 사유나 해제 일정을 밝히지 않았다.

텔레그램은 11월 9일 Bot API 10.4에 위젯 전송 기능 sendWidget을 추가했다. Bot API 변경 내역과 15일 확인한 위젯 공식 문서는 운영 환경의 비공개 대화에서 전송할 수 있다고 안내해, 개발자 보고 및 저장소 답변과 실제 동작 설명이 엇갈린다.

HTML 위젯은 HTML·CSS·JavaScript로 만든 상호작용 요소를 채팅 메시지 안에서 실행하는 기능이다. 이용자는 대화 화면을 벗어나지 않고 위젯과 상호작용할 수 있다.

텔레그램은 위젯의 JavaScript가 네트워크 접근이 차단된 QuickJS 환경에서 실행된다고 설명한다. 이는 공식 문서가 안내하는 위젯의 실행 방식이다.

카스퍼스키(Kaspersky)는 일부 텔레그램 채널을 방문할 때 이용자가 모르는 사이 PowerShell 스크립트가 실행돼 WebRAT(Salat Stealer)을 내려받고 실행하는 활동을 관측했다고 밝혔다. 카스퍼스키 공식 게시물은 이 악성코드가 감염된 컴퓨터에서 실행된다고 설명했다.

카스퍼스키는 WebRAT이 감염된 컴퓨터를 원격 제어하고 가상자산 지갑 및 텔레그램 계정 데이터를 훔칠 수 있다고 밝혔다. 이번 활동에서 실제로 지갑 정보나 계정 탈취가 발생했는지는 확인되지 않았다.

텔레그램의 공개 QuickJS 저장소에는 함수가 반환된 뒤에도 메모리를 참조할 수 있는 경로를 막는 코드 변경이 올라왔다. QuickJS 수정 내역은 함수 반환 후 메모리 참조가 남는 문제를 다룬다.

이 코드 변경만으로 카스퍼스키가 관측한 활동의 공격 경로가 입증되는 것은 아니다. 공개된 수정 내역과 악성코드 유포 활동의 인과관계는 별도로 확인되지 않았다.

텔레그램 위젯 문서는 이용자가 요청하면 봇이 톤(TON) 지갑 카드의 주소와 잔액을 받을 수 있다고 설명한다. 본지는 앞서 텔레그램 메시지 위젯에 톤 결제 기능이 추가됐다고 전했다.

위젯을 통한 거래 요청은 앱의 지갑 창에 목적지와 금액을 표시하고 이용자가 확인하는 절차를 거친다. 이 지갑 카드 정보 전달과 악성코드가 감염된 기기에서 탈취할 수 있는 지갑 관련 정보는 구분해야 한다.

파벨 두로프(Pavel Durov) 텔레그램 창업자는 공식 채널에서 “메시지를 받기만 해서는 해킹될 수 없다”고 말했다. 그는 이용자가 제3자 서비스를 직접 시작해야 공격이 가능하며, 해당 경로도 서버 측에서 막았다고 밝혔다. 두로프 공식 채널

카스퍼스키는 채널 방문 중 이용자가 모르는 사이 스크립트가 실행되는 활동을 관측했다고 했고, 두로프는 제3자 서비스를 직접 시작해야 공격이 가능했다고 설명했다. 두 사람의 설명은 공격이 시작되는 조건에서 차이를 보인다.

본지는 앞서 텔레그램 안드로이드에서 봇 채팅 뒤 계산기 앱이 실행된 시연과 업데이트 배포를 보도했다. 해당 보도는 안드로이드 취약점과 앱 업데이트를 다뤘으며, 이번 개발자 보고는 일반 봇의 위젯 전송 오류에 관한 것이다.