Uma vulnerabilidade no Telegram Desktop permitiu que invasores roubassem conversas e informações confidenciais a partir de arquivos exportados pelo aplicativo. A brecha foi corrigida pela plataforma, que ofereceu recompensa aos pesquisadores responsáveis pela descoberta, porém vetou a divulgação pública do caso sob a justificativa de segurança dos usuários.
Descoberta e Correção
O problema foi identificado pelos pesquisadores Denis Rostilov e Aleksander Rostilov, da empresa de segurança digital ExPatch. O relatório técnico identifica que a falha residia no recurso de exportação de mensagens no formato HTML, comumente utilizado para guardar históricos e relatórios de grupos.
A Falha
Por meio de um botão criado por robôs de mensagens (bots), comandos maliciosos ficavam invisíveis no bate-papo e eram ativados apenas quando a pessoa abria o arquivo gerado no navegador do computador.
Impacto e Consequências
O impacto era imediato no instante da leitura. Sem um segundo clique, sem aviso: todas as mensagens e metadados renderizados naquele documento podiam ser enviados para o servidor do invasor, e a própria página podia ser reescrita. O bot nunca entra no chat alvo: uma única mensagem encaminhada pode ser suficiente.
Correção
A dinâmica da ameaça chamava a atenção pela discrição e pelo alcance indireto. O robô que criava a mensagem original não precisava estar presente no grupo espionado. Bastava que uma mensagem legítima ou de teste com o botão contaminado fosse encaminhada para qualquer comunidade. O código malicioso permanecia inativo no histórico por meses ou anos e só despertava se algum participante decidisse salvar as mensagens na máquina.
Conclusão
A vulnerabilidade permaneceu no código oficial do aplicativo por mais de dois anos. O erro entrou na versão estável do Telegram Desktop em março de 2024 e a correção oficial só foi concluída em julho deste ano. A brecha recebeu pontuação de gravidade 8.2 pela escala técnica do setor: nível alto de perigo.
Recomendações
A recomendação central para quem utiliza o aplicativo em computadores é atualizar o programa imediatamente para as compilações atuais e evitar a abertura de relatórios antigos sem a desativação prévia de scripts nos navegadores.
Conclusão
A ExPatch recusou a quantia de US$500 (cerca de R$2572), oferecida pelo programa de recompensas do mensageiro, e solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a liberação da atualização oficial.
Conclusão
A ExPatch solicitou que a quantia fosse encaminhada para caridade. O grupo decidiu tornar a análise técnica pública após a lib