Nel client Telegram non ufficiale Nekogram è stato individuato del codice offuscato che invia silenziosamente numeri di telefono degli utenti che accedono all'app, a un bot chiamato "@nekonotificationbot", associandoli all'identificatore utente. La modifica per la raccolta dei numeri di telefono è presente solo nelle APK già pronte, distribuite tramite Google Play, GitHub e il canale Telegram del progetto. Nella versione del codice sorgente su GitHub e nell'APK dal catalogo F-Droid, la modifica per la raccolta dei numeri di telefono è assente.
Il backdoor era presente nel file Extra.java. Presumibilmente, l'invio iniziava dalla versione 11.2.3 di Nekogram, inizialmente solo per gli utenti con numeri cinesi, e poi per tutti. L'applicazione utilizzava anche bot osint come "@tgdb_search_bot" e "@usinfobot" per identificare gli utenti tramite i loro ID, ma i numeri di telefono non venivano inviati. 
I ricercatori hanno preparato un hook java e un bot che permettono a chiunque di verificare se il proprio numero di telefono è stato inviato dalla propria versione dell'app. 
Secondo i ricercatori che hanno individuato il problema, gli autori del programma avrebbero potuto utilizzare le informazioni ottenute per creare un database da vendere successivamente agli sviluppatori di bot OSINT. Il nascondere intenzionalmente tale attività è testimoniato dalla offuscamento delle modifiche e dall'uso di query inline per inviare dati. Dopo la rivelazione del problema nel sistema di tracciamento degli errori del progetto, l'autore di Nekogram ha ammesso di aver inviato numeri di telefono al proprio bot, senza spiegare il motivo di tale attività, ma menzionando che i numeri inviati non venivano salvati né inviati a terzi.
Inoltre, è possibile segnalare la scoperta di una vulnerabilità nell'app ufficiale di Telegram. Il progetto Zero Day Initiative (ZDI), che offre ricompense in denaro per la segnalazione di vulnerabilità non corrette, ha pubblicato dati preliminari sulla vulnerabilità ZDI-CAN-30207 in Telegram, attribuendole un livello di pericolo critico (9.8 su 10) e indicandola come attacco remoto, che non richiede alcun intervento da parte dell'utente. I dettagli saranno resi pubblici il 24 luglio, dando tempo agli sviluppatori di Telegram per portare la correzione agli utenti.
È emersa un'informazione secondo cui la vulnerabilità si manifesta aprendo in Telegram sticker animati appositamente formattati e può portare all'esecuzione di codice malevolo senza alcuna azione da parte dell'utente. A quanto pare, la vulnerabilità è causata da un errore nel codice della libreria rlottie, che gestisce l'anteprima.
I rappresentanti di Telegram hanno dichiarato che non considerano il problema rilevato una vulnerabilità pericolosa, poiché tutti gli sticker caricati vengono preventivamente controllati su server Telegram e tale verifica impedirebbe la visualizzazione di sticker dannosi per gli utenti. Dopo la dichiarazione di Telegram, il livello di pericolo della vulnerabilità è stato ridotto da 9.8 a 7.0.
Fonte: opennet.ru
