🥇Неофициалният клиент на Telegram Nekogram изпрати телефонни номера на бота на разработчика

В неофициалния Telegram клиент Nekogram е открит обфускиран код. Той тайно изпраща телефонните номера на потребителите, влезли в приложението, към бота „@nekonotificationbot“, свързан с потребителския идентификатор. Промяната за събиране на телефонни номера е налична само в завършените APK пакети, разпространявани чрез Google Play, GitHub и Telegram канала на проекта. Промяната за събиране на телефонни номера липсва в изходния код в GitHub и APK пакета от директорията F Droid.

Задната вратичка е присъствала във файла Extra.java. Предполага се, че е била изпращана, започвайки с версия 11.2.3 на Nekogram, първоначално само до потребители с китайски телефонни номера, а след това до всички. Програмата е използвала и osint ботовете "@tgdb_search_bot" и "@usinfobot", за да идентифицира потребителите по техните идентификатори, но телефонните номера не са им били изпращани.

Изследователи са разработили Java hook and bot, който позволява на всеки потребител да провери дали неговият екземпляр на приложение изпраща телефонни номера.

Според изследователите, разкрили проблема, авторите на програмата може да са използвали получената информация, за да изградят база данни за последваща продажба на създателите на OSINT ботове. Замъгляването на модификацията и използването на вградени заявки за изпращане на данни показват умишлено скриване на тази дейност. След като проблемът беше разкрит в системата за проследяване на грешки на проекта, авторът на Nekogram призна, че е изпращал телефонни номера на своя бот, без да обясни причината за тази дейност, но отбеляза, че изпратените телефонни номера не са били запазени или споделени с никого.

Освен това, в официалното приложение на Telegram е идентифицирана уязвимост. Инициативата Zero Day (ZDI), проект, предлагащ парични награди за докладване на неотстранени уязвимости, публикува предварителни данни за уязвимостта ZDI-CAN-30207 в Telegram, на която е присвоено критично ниво на тежест (9.8 от 10) и е идентифицирана като отдалечена атака, неизискваща действие от потребителя. Подробности са планирани да бъдат публикувани на 24 юли, което ще даде време на разработчиците на Telegram да внедрят корекция сред потребителите.

Отделно се появи информация, че уязвимостта се проявява при отваряне на специално проектирани анимирани стикери в Telegram и може да доведе до изпълнение на зловреден код без никакво действие от страна на потребителя. Очевидно уязвимостта е причинена от грешка в кода на библиотеката rlottie, която активира функцията за предварителен преглед.

Представители на Telegram заявиха, че не считат идентифицирания проблем за опасна уязвимост, тъй като всички качени стикери са предварително проверени за сървъри Telegram и подобна проверка би предотвратила показването на злонамерения стикер на потребителите. След съобщението на Telegram, нивото на сериозност на уязвимостта беше намалено от 9.8 на 7.0.

Източник: opennet.ru