Telegram для ПК: BeakSec нашла способ тихо выкачивать файлы без подтверждения

Исследователи безопасности BeakSec обнаружили в Telegram для персональных компьютеров уязвимость, которая позволяла забирать файлы с машины жертвы незаметно. Атакующий использовал специальный обработчик, и клиент отправлял файлы без дополнительного подтверждения со стороны пользователя. Ни диалогового окна, ни предупреждения. Под угрозой оказываются файлы сессии Telegram и всё остальное, к чему у пользователя есть доступ. Об этом сообщает CNews.

Что известно об уязвимости

Публичных подробностей немного. В исходном сообщении нет номера CVE, списка затронутых версий, указания на платформы (Windows, macOS, Linux) и данных о том, выпущено ли исправление. Не сказано и о том, использовали ли уязвимость в реальных атаках или она осталась в рамках исследования.

Ключевая деталь описана однозначно: отсутствует шаг подтверждения. Обычно подобные схемы строятся на том, что клиент получает внешнюю команду и обрабатывает её сам. Когда между командой и действием нет вопроса к человеку, любой, кто умеет эту команду доставить, получает возможность читать файлы с диска. Нужен ли для доставки клик по ссылке или открытие сообщения, из доступных данных неясно.

Почему файлы сессии ценнее документов

Telegram Desktop хранит локальные данные сессии в каталоге tdata. Это давно известная цель для вредоносного ПО: стилеры копируют эту папку целиком, чтобы затем открыть чужой аккаунт на другой машине без ввода кода из SMS. Если уязвимость позволяла забирать произвольные файлы, то tdata оказывалась в списке первой.

Локальный код-пароль в десктопном клиенте шифрует локальные данные, но включают его далеко не все. Облачный пароль двухэтапной проверки защищает вход с нового устройства, однако угнанная сессия вызывает вопросы к модели защиты. Подробности зависят от того, что именно удавалось вытащить.

Помимо сессий, под удар попадают рабочие документы, ключи, выгрузки, конфигурации и всё, что лежит в профиле пользователя. Для корпоративных ноутбуков, где мессенджер стоит рядом с доступом к внутренним системам, это отдельная статья риска.

Прецедент уже был. В апреле 2024 года исследователи показали, что Telegram Desktop на Windows запускает некоторые типы файлов, включая Python-скрипты, без предупреждения. Компания тогда добавила предупреждение. Схема повторяется: удобство работы с вложениями и ссылками конфликтует с защитой от запуска чужих действий на компьютере.

Что подтверждено, а что нет

• Кто нашёл: исследователи BeakSec • Где: Telegram для персональных компьютеров • Механизм: специальный обработчик, отправка файлов без подтверждения • Заметность для пользователя: действие происходит незаметно • Что под угрозой: файлы сессии Telegram и другие доступные пользователю данные • Не раскрыто: CVE, версии, платформы, статус патча, факты эксплуатации

Что делать сейчас

Первое: обновить клиент до последней версии и проверить, не вышел ли свежий релиз с исправлением. Пока официального подтверждения от Telegram в источнике нет, сроки патча остаются вопросом.

Второе: открыть «Настройки → Устройства» и завершить незнакомые сессии. Это занимает минуту. Заодно включить облачный пароль двухэтапной проверки и локальный код-пароль в десктопном клиенте.

Третье: не открывать ссылки и файлы от незнакомых контактов в десктопной версии, а при необходимости использовать веб-клиент или мобильное приложение. Для рабочих машин разумно держать мессенджер под отдельным профилем без доступа к чувствительным каталогам.

Для ИБ-служб: добавить в мониторинг EDR обращения к каталогу tdata со стороны посторонних процессов и исходящий трафик Telegram на необычные адреса. Пока подробности не опубликованы, проверять нужно поведение клиента, а не конкретные сигнатуры.