W nieoficjalnym kliencie Telegrama Nekogram odkryto obfuskujący kod, który ukrycie przesyła do bota "@nekonotificationbot" numery telefonów użytkowników, którzy zalogowali się do aplikacji, w powiązaniu z identyfikatorem użytkownika. Zmiana służąca do zbierania numerów telefonów występuje tylko w gotowych pakietach APK, rozpowszechnianych poprzez Google Play, GitHub i kanał Telegram projektu. W kodzie źródłowym na GitHubie oraz w pakiecie APK z katalogu F-Droid zmiana zbierająca numery telefonów jest nieobecna.
Tylną bramkę znaleziono w pliku Extra.java. Prawdopodobnie wysyłanie zaczęło się od wersji Nekogram 11.2.3, najpierw tylko dla użytkowników z chińskimi numerami, a następnie dla wszystkich. W programie używano również botów osint "@tgdb_search_bot" i "@usinfobot" do identyfikacji użytkowników po ich identyfikatorze, ale numery telefonów nie były do nich wysyłane. 
Badacze przygotowali hak w java oraz bota, które umożliwiają każdemu użytkownikowi sprawdzenie, czy numery telefonów jego egzemplarza aplikacji są wysyłane. 
Według badaczy, którzy zidentyfikowali problem, autorzy programu mogli wykorzystać uzyskane informacje do stworzenia bazy danych do późniejszej sprzedaży twórcom botów OSINT. O zamierzonym ukrywaniu takiej aktywności świadczy zafałszowanie zmiany oraz zastosowanie zapytań inline do wysyłania danych. Po ujawnieniu problemu w systemie zgłaszania błędów projektu autor Nekogramu przyznał, że numery telefonów były wysyłane do jego bota, nie wyjaśniając przyczyn takiej aktywności, ale wspomniał, że przesyłane numery nie były przechowywane ani przekazywane nikomu.
Dodatkowo można zauważyć ujawnienie podatności w oficjalnej aplikacji Telegram. Projekt Zero Day Initiative (ZDI), oferujący nagrody pieniężne za zgłaszanie niepoprawionych podatności, opublikował wstępne dane dotyczące podatności ZDI-CAN-30207 w Telegramie, której nadano krytyczny poziom zagrożenia (9.8 na 10) oraz oznaczenie ataku zdalnego, niewymagającego działania ze strony użytkownika. Szczegóły mają zostać ujawnione 24 lipca, dając czas programistom Telegrama na wdrożenie poprawek dla użytkowników.
Pojawiły się informacje, że luka bezpieczeństwa ujawnia się podczas otwierania specjalnie przygotowanych animowanych naklejek w Telegramie i może prowadzić do wykonania kodu przez złośliwego użytkownika bez jakiejkolwiek interakcji ze strony użytkownika. Z tego, co wiadomo, luka jest spowodowana błędem w kodzie biblioteki rlottie, która obsługuje podgląd.
Przedstawiciele Telegramu poinformowali, że nie uważają wykrytą problem za niebezpieczną lukę, ponieważ wszystkie przesyłane naklejki są wcześniej weryfikowane na serwerach Telegramie i taka weryfikacja nie pozwoliłaby na wyświetlenie użytkownikom złośliwej naklejki. Po oświadczeniu Telegramu poziom zagrożenia luki został obniżony z 9.8 do 7.0.
Źródło: opennet.ru
