Uma vulnerabilidade crítica no Telegram Desktop permitiu que invasores acessassem conversas e informações sensíveis através de arquivos exportados pelo aplicativo. A falha, que foi identificada por Denis e Aleksander Rostilov da empresa de segurança ExPatch, foi corrigida pela plataforma, que, no entanto, decidiu não divulgar os detalhes publicamente, citando preocupações com a segurança dos usuários.
A brecha estava no recurso de exportação de mensagens em formato HTML, utilizado para salvar históricos e relatórios de grupos. Através de um botão criado por bots de mensagens, comandos maliciosos se tornavam invisíveis no bate-papo e se ativavam apenas quando o usuário abria o arquivo no navegador.
Em um comunicado, o Telegram explicou que a divulgação pública poderia expor mais usuários a riscos futuros. A empresa destacou que, mesmo após a correção, indivíduos mal-intencionados poderiam tentar explorar a situação.
Os pesquisadores alertaram que a vulnerabilidade se destacava pela sutileza e pelo alcance indireto. O bot responsável pela mensagem não precisava estar presente no grupo afetado. Uma mensagem contaminada poderia ser enviada para qualquer comunidade, e o código malicioso ficava inativo por longos períodos, ativando-se apenas quando o arquivo era salvo no computador.
Assim que a vítima abria o documento HTML, o código malicioso coletava informações como nomes de remetentes, horários e conteúdos trocados, além de dados sobre o sistema do usuário. Os invasores ainda poderiam exibir uma página falsa do Telegram, possibilitando tentativas de phishing para roubo de senhas.
A vulnerabilidade ficou exposta no código do Telegram Desktop por mais de dois anos, sendo identificada em março de 2024, e a correção só foi implementada em julho deste ano. Com uma gravidade avaliada em 8.2 na escala do setor, a falha foi tratada na versão 7.0.1 do aplicativo. No entanto, os arquivos HTML baixados anteriormente continuam sendo uma ameaça.
Os pesquisadores da ExPatch optaram por não aceitar a recompensa de US$ 500 oferecida pelo Telegram, preferindo destinar o valor a uma instituição de caridade. Após a liberação da atualização, eles decidiram tornar a análise técnica pública.
Para usuários do Telegram Desktop, a recomendação é atualizar o aplicativo imediatamente e evitar abrir arquivos antigos sem desativar scripts nos navegadores. Grupos corporativos devem gerar novos arquivos para garantir que não contêm código malicioso.
Fonte: www.estadao.com.br