Falha no Telegram Desktop expõe histórico de conversas em arquivos exportados

Uma vulnerabilidade no Telegram Desktop permitia que invasores roubassem conversas e informações confidenciais a partir de arquivos exportados pelo aplicativo. A brecha foi corrigida pela plataforma, que ofereceu recompensa financeira aos pesquisadores responsáveis pela descoberta, porém vetou a divulgação pública do caso sob a justificativa de segurança dos usuários.

O problema foi identificado pelos pesquisadores Denis Rostilov e Aleksander Rostilov, da empresa de segurança digital ExPatch. O relatório técnico identifica que a falha residia no recurso de exportação de mensagens no formato HTML, comumente utilizado para guardar históricos e relatórios de grupos. Por meio de um botão criado por robôs de mensagens (bots), comandos maliciosos ficavam invisíveis no bate-papo e eram ativados apenas quando a pessoa abria o arquivo gerado no navegador do computador.

Detalhes da brecha

A dinâmica da ameaça chamava a atenção pela discrição e pelo alcance indireto, de acordo com os pesquisadores. O robô que criava a mensagem original não precisava estar presente no grupo espionado. Bastava que uma mensagem legítima ou de teste com o botão contaminado fosse encaminhada para qualquer comunidade. O código malicioso permanecia inativo no histórico por meses ou anos e só despertava se algum participante decidisse salvar as mensagens na máquina.

De acordo com o relatório da ExPatch, o impacto era imediato no instante da leitura. “Sem um segundo clique, sem aviso: todas as mensagens e metadados renderizados naquele documento podiam ser enviados para o servidor do invasor, e a própria página podia ser reescrita. O bot nunca entra no chat alvo: uma única mensagem encaminhada pode ser suficiente”, descreveu a equipe de pesquisa.

Quando a vítima abria o documento HTML baixado no navegador, o código secreto lia nomes de remetentes, horários dos envios, conteúdos trocados e até o caminho das pastas do computador da vítima. Nos testes apresentados pelos especialistas, os invasores conseguiam também substituir a exibição da tela por uma página falsa de verificação com a identidade visual do aplicativo, o que abria margem para tentativas de golpe para capturar senhas e e-mails.

A vulnerabilidade permaneceu no código oficial do aplicativo por mais de dois anos. O erro entrou na versão estável do Telegram Desktop em março de 2024 e a correção oficial só foi concluída em julho deste ano. A brecha recebeu pontuação de gravidade 8.2 pela escala técnica do setor: nível alto de perigo.

O conserto foi incluído na versão 7.0.1 estável do programa para computadores. No entanto, os pesquisadores alertam que a atualização do aplicativo não consegue consertar arquivos HTML que os usuários já baixaram e guardaram no computador antes do ajuste. Documentos antigos que contenham a mensagem adulterada continuam perigosos caso abertos normalmente em programas como Google Chrome ou Edge.

Resposta dos pesquisadores

Os analistas da ExPatch recusaram a quantia de US$500 (cerca de R$2572), oferecida pelo programa de recompensas do mensageiro, e solicitaram que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.

A recomendação central para quem utiliza o aplicativo em computadores é atualizar o programa imediatamente para as compilações atuais e evitar a abertura de relatórios antigos sem a desativação prévia de scripts nos navegadores.

Para grupos corporativos que guardam diálogos para controle interno, a orientação consiste em gerar novos arquivos para garantir que os dados arquivados estejam limpos de códigos suspeitos.

Por falar em segurança no universo digital, criminosos usam Claude para acelerar espionagem e ciberataques, segundo uma pesquisa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.