Неофициалният Telegram клиент Nekogram изпращал телефонни номера на бота на разработчика

В неофициалния Telegram клиент Nekogram е открит обфускиран код, който тайно изпраща на бота «@nekonotificationbot» телефонните номера на потребителите, влезли в приложението, свързани с идентификатора на потребителя. Промяната за събиране на телефонни номера е налична само в готовите APK пакети, разпространявани през Google Play, GitHub и Telegram канала на проекта. В изходния код на GitHub и в APK пакета от каталога F Droid промяната за събиране на телефони липсва.

Задният вход е присъствал във файла Extra.java. Предполага се, че изпращането е започнало с версия Nekogram 11.2.3, първоначално само за потребители с китайски номера, а след това за всички. В програмата са се използвали и osint ботове «@tgdb_search_bot» и «@usinfobot» за определяне на потребители по техния ID, но телефонните номера не са изпращани към тях.

Изследователите са подготвили java hook и бот, които позволяват на всеки потребител да се увери, че телефонните номера на неговия екземпляр на приложението се изпращат.

Според откритите изследователи, авторите на програмата биха могли да използват получената информация за създаване на база данни за последваща продажба на създателите на OSINT ботове. За намерението да се скрие подобна активност свидетелства обфускацията на промяната и използването на inline заявки за изпращане на данни. След разкритие на проблема в системата за проследяване на грешки на проекта, авторът на Nekogram признал изпращането на телефонни номера на своя бот, без да уточнява причините за такава активност, но спомена, че изпратените телефони не се съхраняват и не се предават на никого.

Допълнително може да се отбележи откритие на уязвимост в официалното приложение на Telegram. Проектът Zero Day Initiative (ZDI), предлагащ парични награди за доклади за неизправени уязвимости, публикува предварителни данни за уязвимостта ZDI-CAN-30207 в Telegram, която е оценена на критично ниво на опасност (9.8 от 10) и е обозначена с признак за отдалечена атака, която не изисква действия от потребителя. Детайлите ще бъдат разкрити на 24 юли, давайки време на разработчиците на Telegram да предоставят поправката на потребителите.

Специално се появи информация, че уязвимостта се проявява при отваряне на специално оформени анимирни стикери в Telegram и може да доведе до изпълнение на код от злоумышленик без никакви действия от страна на потребителя. Изглежда, че уязвимостта е причинена от грешка в кода на библиотеката rlottie, която осигурява работата на предпросмотра.

Представители на Telegram заявиха, че не смятат открития проблем за опасна уязвимост, тъй като всички качени стикери се проверяват предварително за сървъри Telegram и подобна проверка не би могла да допусне показването на злонамерен стикер на потребителите. След изявлението на Telegram, нивото на опасност от уязвимостта беше снижено от 9.8 на 7.0.

Източник: opennet.ru