Nel client Telegram non ufficiale Nekogram è stato identificato un codice offuscato che invia in modo nascosto al bot «@nekonotificationbot» i numeri di telefono degli utenti che accedono all'app, legati all'identificatore dell'utente. La modifica per la raccolta dei numeri di telefono è presente solo nei pacchetti APK pronti, distribuiti tramite Google Play, GitHub e il canale Telegram del progetto. Nel codice sorgente su GitHub e nel pacchetto APK dal catalogo F Droid non è presente la modifica per la raccolta dei numeri di telefono.
Il backdoor era presente nel file Extra.java. Presumibilmente, l'invio è iniziato dalla versione Nekogram 11.2.3, inizialmente solo per gli utenti con numeri cinesi, e poi per tutti. Nel programma sono stati utilizzati anche bot osint «@tgdb_search_bot» e «@usinfobot» per identificare gli utenti tramite il loro ID, ma i numeri di telefono non venivano inviati a loro. 
I ricercatori hanno preparato un hook java e un bot, che consentono a qualsiasi utente di verificare se il suo dispositivo sta inviando numeri di telefono. 
Secondo i ricercatori che hanno identificato il problema, gli autori del programma potrebbero utilizzare le informazioni ottenute per creare un database da vendere successivamente ai creatori di bot OSINT. L'offuscamento della modifica e l'uso di richieste inline per inviare dati testimoniano l'intenzionalità di nascondere tale attività. Dopo la rivelazione del problema nel sistema di tracciamento degli errori del progetto, l'autore di Nekogram ha riconosciuto l'invio dei numeri di telefono al proprio bot, senza spiegare il motivo di tale attività, ma ha menzionato che i telefoni inviati non venivano conservati né trasmessi a terzi.
In aggiunta, si segnala la scoperta di una vulnerabilità nell'app ufficiale di Telegram. Il progetto Zero Day Initiative (ZDI), che offre ricompense monetarie per segnalazioni di vulnerabilità non corrette, ha pubblicato dati preliminari sulla vulnerabilità ZDI-CAN-30207 in Telegram, a cui è stato assegnato un livello di pericolo critico (9.8 su 10) e classificato come attacco remoto, non richiedente azioni da parte dell'utente. I dettagli saranno resi noti il 24 luglio, dando tempo agli sviluppatori di Telegram per fornire una correzione agli utenti.
Sono emerse informazioni che la vulnerabilità si manifesta aprendo in Telegram adesivi animati appositamente progettati e può portare all'esecuzione di codice da parte di un attaccante senza alcuna azione da parte dell'utente. A quanto pare, la vulnerabilità è causata da un errore nel codice della libreria rlottie, che gestisce il funzionamento dell'anteprima.
I rappresentanti di Telegram hanno dichiarato che non considerano il problema rilevato una vulnerabilità pericolosa, poiché tutti gli adesivi caricati vengono controllati preventivamente per server Telegram e tale verifica non avrebbe permesso la visualizzazione di adesivi dannosi per gli utenti. Dopo la dichiarazione di Telegram, il livello di pericolo della vulnerabilità è stato abbassato da 9.8 a 7.0.
Fonte: opennet.ru
