Эхо Телеги
@echo_telegi
Эхо Телеги
Фото:
Появился «Российский» клиент телеграма с рабочими звонками, который работает даже при блокировках в регионах
Примерно так звучит реклама, которую мы с командой заметили пару дней назад в официальном Telegram Ads. Но решили не придавать огласке до сегодняшнего дня, потому что с виду это обычный клиент и ничем непримечательный клиент – а реклама у нас не продается.
Так вот. Есть подвох – этот мессенджер является проектом VK, на это указывают строки в декомпиляторе APK файла. И те самые рабочие звонки идут через инфраструктуру Одноклассников (именно так работает и MAX).
Но если ВК решили сделать свой доработанный клиент, то это ладно. Но есть еще не совсем приятные моменты:
1. В клиенте есть черный список нежелательных каналов, при заходе на которые высвечивается: «Этот канал недоступен в связи с нарушениями правил платформы». Каналы в черный список включаются в любой момент со стороны разработчиков этого клиента.
2. Автоматически при авторизации на сервер сливается: номер телефона, модель телефона, IP адрес, язык, версия системы, таймзона, юзернейм
3. При каждом входе в приложение – оно отправляет команду start в бота и автоматически подписывается на их канал. Это не только нарушает правила Telegram, но и подвергает риску бана автореги/самореги и в целом новые аккаунты.
В боте авторизации уже 150.000+ пользователей. Скачивать, а тем более заходить в свой аккаунт опасно
@echo_telegi
Помните, в октябре мы писали про «российский клиент телеграма» от VK с черными списками каналов и сливом данных при авторизации? Тогда в боте было 150 тысяч пользователей. Сейчас их сильно больше – и ситуация стала радикально хуже
18 марта создатели Telega активировали полноценную MITM-атаку на своих пользователей. Если коротко – они подменили адреса серверов Telegram на свои и вшили в клиент собственный ключ шифрования. Это значит, что весь трафик между вами и Telegram проходит через серверы Telega.
Технически это работает так: клиент запрашивает у api.telega.info список IP-адресов, которые принадлежат AS203502 «АО ТЕЛЕГА» – и подставляет их вместо настоящих DC Telegram. В библиотеку шифрования добавлен четвертый RSA-ключ, которого нет в оригинальном клиенте. Настоящий сервер Telegram этот ключ не принимает – а сервер Telega принимает. Это проверено и воспроизводимо.
Чтобы перехват заработал, нужно пересоздать сессию. Для этого в Telega встроен механизм принудительного разлогина – через скрытый пуш, диплинк или баннер «перезайдите для ускорения соединения». После этого новое рукопожатие идет уже через их сервер с их ключом.
Что они могут после этого: читать все сообщения во всех чатах, просматривать историю, подменять контент, выполнять любые действия от имени вашего аккаунта.
Но это не всё. В Telega по умолчанию отключена Perfect Forward Secrecy – защита, которая в оригинальном клиенте включена принудительно и не дает расшифровать старый трафик при компрометации ключа. А секретные чаты просто отключены через Firebase – входящие запросы на секретный чат тихо игнорируются, отправитель об этом не узнает.
Отдельная история – на поддоменах telega.info нашлись тестовые стенды двух панелей модерации. Zeus – тикет-система для обработки запросов на блокировку контента, в тестовых данных которой фигурирует email stream@rkn.gov.ru. И Cerberus – панель модерации сообщений в реальном времени с ИИ-классификацией и автобаном. Разработчики говорят, что это прототипы. Возможно. Но архитектура говорит о системном подходе.
Напомним – единственный апстрим AS Telega это AS47764 VK. В октябре мы писали, что звонки идут через инфраструктуру Одноклассников. Теперь к этому добавился полный перехват трафика.
Если кто-то из ваших знакомых пользуется Telega – один такой пользователь компрометирует не только себя, но и всех своих собеседников. Они об этом не знают. Удалите клиент, завершите сессию в настройках аккаунта Telegram, пользуйтесь официальным приложением с прокси или VPN.
Подробный технический разбор с декомпилированным кодом, хэшами и воспроизводимыми тестами – тут.
@echo_telegi
18 марта создатели Telega активировали полноценную MITM-атаку на своих пользователей. Если коротко – они подменили адреса серверов Telegram на свои и вшили в клиент собственный ключ шифрования. Это значит, что весь трафик между вами и Telegram проходит через серверы Telega.
Технически это работает так: клиент запрашивает у api.telega.info список IP-адресов, которые принадлежат AS203502 «АО ТЕЛЕГА» – и подставляет их вместо настоящих DC Telegram. В библиотеку шифрования добавлен четвертый RSA-ключ, которого нет в оригинальном клиенте. Настоящий сервер Telegram этот ключ не принимает – а сервер Telega принимает. Это проверено и воспроизводимо.
Чтобы перехват заработал, нужно пересоздать сессию. Для этого в Telega встроен механизм принудительного разлогина – через скрытый пуш, диплинк или баннер «перезайдите для ускорения соединения». После этого новое рукопожатие идет уже через их сервер с их ключом.
Что они могут после этого: читать все сообщения во всех чатах, просматривать историю, подменять контент, выполнять любые действия от имени вашего аккаунта.
Но это не всё. В Telega по умолчанию отключена Perfect Forward Secrecy – защита, которая в оригинальном клиенте включена принудительно и не дает расшифровать старый трафик при компрометации ключа. А секретные чаты просто отключены через Firebase – входящие запросы на секретный чат тихо игнорируются, отправитель об этом не узнает.
Отдельная история – на поддоменах telega.info нашлись тестовые стенды двух панелей модерации. Zeus – тикет-система для обработки запросов на блокировку контента, в тестовых данных которой фигурирует email stream@rkn.gov.ru. И Cerberus – панель модерации сообщений в реальном времени с ИИ-классификацией и автобаном. Разработчики говорят, что это прототипы. Возможно. Но архитектура говорит о системном подходе.
Напомним – единственный апстрим AS Telega это AS47764 VK. В октябре мы писали, что звонки идут через инфраструктуру Одноклассников. Теперь к этому добавился полный перехват трафика.
Если кто-то из ваших знакомых пользуется Telega – один такой пользователь компрометирует не только себя, но и всех своих собеседников. Они об этом не знают. Удалите клиент, завершите сессию в настройках аккаунта Telegram, пользуйтесь официальным приложением с прокси или VPN.
Подробный технический разбор с декомпилированным кодом, хэшами и воспроизводимыми тестами – тут.
@echo_telegi
👍 313
🤬 214
🤯 75
😁 21
🤔 7
👎 5
100 14K 214K
Обсуждение 100
Обсуждение не доступно в веб-версии. Чтобы написать комментарий, перейдите в приложение Telegram.
Обсудить в Telegram