Kode sing dikaburkan wis ditemokake ing klien Telegram ora resmi Nekogram. Kode kasebut kanthi diam-diam ngirim nomer telpon pangguna sing mlebu menyang aplikasi menyang bot "@nekonotificationbot," sing ana gandhengane karo ID pangguna. Owah-owahan kanggo ngumpulake nomer telpon mung ana ing paket APK sing wis rampung sing disebar liwat Google Play, GitHub, lan saluran Telegram proyek kasebut. Owah-owahan kanggo ngumpulake nomer telpon ora ana ing kode sumber ing GitHub lan paket APK saka direktori F Droid.
Backdoor ana ing file Extra.java. Dikira-kira dikirim wiwit Nekogram versi 11.2.3, wiwitane mung kanggo pangguna sing duwe nomer telpon Cina, banjur kanggo kabeh wong. Program kasebut uga nggunakake bot osint "@tgdb_search_bot" lan "@usinfobot" kanggo ngenali pangguna miturut ID, nanging nomer telpon ora dikirim menyang dheweke. 
Para peneliti wis ngembangake hook lan bot Java sing ngidini pangguna kanggo verifikasi manawa aplikasi kasebut ngirim nomer telpon. 
Miturut para peneliti sing nemokake masalah kasebut, para penulis program kasebut bisa uga nggunakake informasi sing ditampa kanggo mbangun basis data kanggo didol sabanjure menyang para pencipta bot OSINT. Kabure modifikasi lan panggunaan panjalukan inline kanggo ngirim data nuduhake panyembunyian sing disengaja saka aktivitas iki. Sawise masalah kasebut diungkapake ing sistem pelacakan bug proyek kasebut, penulis Nekogram ngakoni ngirim nomer telpon menyang bot-e, tanpa nerangake alesan aktivitas iki, nanging nyathet yen nomer telpon sing dikirim ora disimpen utawa dituduhake karo sapa wae.
Kajaba iku, kerentanan wis diidentifikasi ing aplikasi resmi Telegram. Zero Day Initiative (ZDI), sawijining proyek sing nawakake hadiah awis kanggo nglaporake kerentanan sing durung ditambal, wis nerbitake data awal babagan kerentanan ZDI-CAN-30207 ing Telegram, sing wis diwenehi tingkat keruwetan kritis (9.8 saka 10) lan diidentifikasi minangka serangan jarak jauh sing ora mbutuhake tindakan pangguna. Rincian dijadwalake bakal dirilis tanggal 24 Juli, menehi wektu kanggo para pangembang Telegram kanggo masang perbaikan kanggo pangguna.
Kapisah, ana informasi sing muncul yen kerentanan kasebut muncul nalika mbukak stiker animasi sing dirancang khusus ing Telegram lan bisa nyebabake eksekusi kode jahat tanpa tumindak pangguna. Ketoke, kerentanan kasebut disebabake kesalahan ing kode perpustakaan rlottie, sing ngaktifake fungsi pratinjau.
Perwakilan Telegram nyatakake yen dheweke ora nganggep masalah sing diidentifikasi minangka kerentanan sing mbebayani, amarga kabeh stiker sing diunggah wis dicenthang sadurunge. server Telegram lan pamriksan kaya ngono kuwi mesthine bisa nyegah stiker jahat kasebut ditampilake marang pangguna. Sawise woro-woro Telegram, tingkat keruwetan kerentanan kasebut diudhunake saka 9.8 dadi 7.0.
Source: opennet.ru
