Im inoffiziellen Telegram-Client Nekogram wurde obfuszierter Code gefunden, der Telefonnummern von Nutzern, die sich in die App eingeloggt haben, an den Bot „@nekonotificationbot“ zusammen mit der Benutzer-ID sendet. Diese Änderung zum Sammeln von Telefonnummern ist nur in den fertigen APK-Paketen enthalten, die über Google Play, GitHub und den Telegram-Kanal des Projekts verbreitet werden. Im Quellcode auf GitHub und im APK-Paket aus dem F-Droid-Verzeichnis fehlt die Änderung, die Telefonnummern sammelt.
Ein Backdoor war in der Datei Extra.java vorhanden. Angeblich begann der Versand mit der Version Nekogram 11.2.3, zunächst nur für Nutzer mit chinesischen Telefonnummern, später dann für alle. In der App wurden auch OSINT-Bots wie „@tgdb_search_bot“ und „@usinfobot“ verwendet, um Nutzer anhand ihrer ID zu identifizieren, jedoch wurden keine Telefonnummern an sie gesendet. 
Forscher haben einen Java-Hook und einen Bot entwickelt, mit denen jeder Nutzer überprüfen kann, ob mit seiner Anwendung Telefonnummern gesendet werden. 
Laut den Forschern, die das Problem entdeckt haben, könnten die Entwickler der Software die gesammelten Informationen verwendet haben, um eine Datenbank für den späteren Verkauf an OSINT-Bot-Ersteller zu erstellen. Die absichtliche Verschleierung solcher Aktivitäten zeigt sich in der Obfuskation von Änderungen und der Verwendung von Inline-Anfragen zum Versenden von Daten. Nach der Offenlegung des Problems im Fehlerverfolgungssystem des Projekts gab der Autor von Nekogram zu, dass er Telefonnummern an seinen Bot gesendet hat, ohne die Gründe für diese Aktivität zu erläutern, erwähnte jedoch, dass die gesendeten Telefonnummern nicht gespeichert und nicht an Dritte weitergegeben wurden.
Zusätzlich wurde eine Sicherheitsanfälligkeit in der offiziellen Telegram-App festgestellt. Das Zero Day Initiative (ZDI) Projekt, das finanzielle Belohnungen für Berichte über unbehobene Sicherheitslücken anbietet, hat vorläufige Daten zur Schwachstelle ZDI-CAN-30207 in Telegram veröffentlicht, die als kritisch (9,8 von 10) eingestuft wurde und als Remote-Angriff gekennzeichnet ist, bei dem keine Maßnahmen vom Benutzer erforderlich sind. Einzelheiten sollen am 24. Juli bekannt gegeben werden, um den Entwicklern von Telegram Zeit zu geben, das Update an die Benutzer zu bringen.
Zusätzlich wurde berichtet, dass die Schwachstelle auftritt, wenn speziell gestaltete animierte Sticker in Telegram geöffnet werden, und dies zur Ausführung von Angreifercode führen kann, ohne dass der Benutzer etwas tun muss. Anscheinend wird die Schwachstelle durch einen Fehler im Code der Bibliothek rlottie verursacht, die für die Vorschau verantwortlich ist.
Vertreter von Telegram erklärten, dass sie das gefundene Problem nicht als gefährliche Schwachstelle betrachten, da alle hochgeladenen Sticker vorher überprüft werden. Servern In Telegram würde eine solche Überprüfung verhindern, dass schadhafter Sticker den Nutzern angezeigt wird. Nach der Erklärung von Telegram wurde das Gefährdungsniveau der Schwachstelle von 9,8 auf 7,0 gesenkt.
Quelle: opennet.ru
