অনানুষ্ঠানিক টেলিগ্রাম ক্লায়েন্ট নেকোগ্রাম ডেভেলপারের বট-এ ফোন নম্বর পাঠিয়েছিল।

অনানুষ্ঠানিক টেলিগ্রাম ক্লায়েন্ট নেকোগ্রামে দুর্বোধ্য কোড আবিষ্কৃত হয়েছে। এটি গোপনে অ্যাপে লগ ইন করা ব্যবহারকারীদের ফোন নম্বর, ইউজার আইডির সাথে সংযুক্ত "@nekonotificationbot" নামক বটটিতে পাঠিয়ে দেয়। ফোন নম্বর সংগ্রহের এই পরিবর্তনটি শুধুমাত্র গুগল প্লে, গিটহাব এবং প্রজেক্টটির টেলিগ্রাম চ্যানেলের মাধ্যমে বিতরণ করা সম্পূর্ণ এপিকে প্যাকেজগুলোতে উপস্থিত রয়েছে। গিটহাবের সোর্স কোড এবং এফ ড্রয়েড ডিরেক্টরির এপিকে প্যাকেজে ফোন নম্বর সংগ্রহের এই পরিবর্তনটি অনুপস্থিত।

ব্যাকডোরটি Extra.java ফাইলে উপস্থিত ছিল। ধারণা করা হয়, এটি নেকোগ্রাম সংস্করণ ১১.২.৩ থেকে পাঠানো শুরু হয়েছিল, প্রথমে শুধু চীনা ফোন নম্বরধারী ব্যবহারকারীদের কাছে এবং পরে সবার কাছে। প্রোগ্রামটি ব্যবহারকারীদের আইডি দ্বারা শনাক্ত করার জন্য "@tgdb_search_bot" এবং "@usinfobot" নামক ওসিন্ট বটগুলোও ব্যবহার করত, কিন্তু তাদের কাছে ফোন নম্বর পাঠানো হতো না।

গবেষকরা একটি জাভা হুক এবং বট তৈরি করেছেন, যার মাধ্যমে যেকোনো ব্যবহারকারী যাচাই করতে পারবেন যে তাদের অ্যাপ্লিকেশন ইনস্ট্যান্সটি ফোন নম্বর পাঠাচ্ছে কি না।

যে গবেষকরা বিষয়টি উন্মোচন করেছেন, তাদের মতে, প্রোগ্রামটির নির্মাতারা সম্ভবত প্রাপ্ত তথ্য ব্যবহার করে পরবর্তীকালে OSINT বট নির্মাতাদের কাছে বিক্রির উদ্দেশ্যে একটি ডেটাবেস তৈরি করেছিলেন। এই পরিবর্তনের অস্পষ্টতা এবং ডেটা পাঠানোর জন্য ইনলাইন রিকোয়েস্টের ব্যবহার এই কার্যকলাপের ইচ্ছাকৃত গোপনীয়তার ইঙ্গিত দেয়। প্রকল্পের বাগ ট্র্যাকিং সিস্টেমে বিষয়টি প্রকাশিত হওয়ার পর, নেকোগ্রামের লেখক তার বটে ফোন নম্বর পাঠানোর কথা স্বীকার করেন, তবে এই কার্যকলাপের কারণ ব্যাখ্যা করেননি। তবে তিনি উল্লেখ করেন যে, পাঠানো ফোন নম্বরগুলো সংরক্ষণ করা হয়নি বা কারও সাথে শেয়ার করা হয়নি।

এছাড়াও, অফিসিয়াল টেলিগ্রাম অ্যাপে একটি দুর্বলতা শনাক্ত করা হয়েছে। জিরো ডে ইনিশিয়েটিভ (জেডডিআই), যা প্যাচবিহীন দুর্বলতা রিপোর্ট করার জন্য নগদ পুরস্কার প্রদানকারী একটি প্রকল্প, টেলিগ্রামের ZDI-CAN-30207 দুর্বলতাটির প্রাথমিক তথ্য প্রকাশ করেছে। এটিকে একটি গুরুতর তীব্রতার স্তর (১০ এর মধ্যে ৯.৮) দেওয়া হয়েছে এবং ব্যবহারকারীর কোনো পদক্ষেপ ছাড়াই একটি রিমোট অ্যাটাক হিসেবে চিহ্নিত করা হয়েছে। এর বিস্তারিত তথ্য ২৪শে জুলাই প্রকাশ করার কথা রয়েছে, যা টেলিগ্রাম ডেভেলপারদের ব্যবহারকারীদের জন্য একটি সমাধান প্রয়োগ করার সময় দেবে।

এর পাশাপাশি, আলাদাভাবে এমন তথ্য সামনে এসেছে যে, টেলিগ্রামে বিশেষভাবে ডিজাইন করা অ্যানিমেটেড স্টিকার খোলার সময় এই দুর্বলতাটি প্রকাশ পায় এবং ব্যবহারকারীর কোনো পদক্ষেপ ছাড়াই ক্ষতিকর কোড কার্যকর করতে পারে। দৃশ্যত, এই দুর্বলতাটি rlottie লাইব্রেরির কোডের একটি ত্রুটির কারণে ঘটে, যা প্রিভিউ ফাংশনটি চালু করে।

টেলিগ্রামের প্রতিনিধিরা জানিয়েছেন যে, তারা চিহ্নিত সমস্যাটিকে কোনো বিপজ্জনক দুর্বলতা হিসেবে বিবেচনা করেন না, কারণ আপলোড করা সমস্ত স্টিকার আগে থেকেই যাচাই করা থাকে। সার্ভার টেলিগ্রাম এবং এই ধরনের একটি যাচাই প্রক্রিয়া থাকলে ব্যবহারকারীদের কাছে ক্ষতিকর স্টিকারটি প্রদর্শিত হওয়া ঠেকানো যেত। টেলিগ্রামের ঘোষণার পর, এই দুর্বলতার তীব্রতার মাত্রা ৯.৮ থেকে কমিয়ে ৭.০ করা হয়েছে।

উত্স: opennet.ru