Telegram para PC: BeakSec descubre cómo extraer archivos en silencio y sin confirmación

Los investigadores de seguridad de BeakSec han descubierto en Telegram para ordenadores personales una vulnerabilidad que permitía sustraer archivos del equipo de la víctima sin que ésta lo notara. El atacante utilizaba un manejador especial, y el cliente enviaba los archivos sin pedir ninguna confirmación adicional al usuario. Ni cuadro de diálogo ni advertencia. Están en riesgo los archivos de sesión de Telegram y todo lo demás a lo que el usuario tenga acceso. Lo informa CNews.

Qué se sabe de la vulnerabilidad

Hay pocos detalles públicos. El mensaje original no incluye el número de CVE, la lista de versiones afectadas, las plataformas (Windows, macOS, Linux) ni datos sobre si se ha publicado una corrección. Tampoco aclara si la vulnerabilidad se usó en ataques reales o si se quedó en el ámbito de la investigación.

El detalle clave está descrito sin ambigüedad: falta el paso de confirmación. Por lo general, este tipo de esquemas se basa en que el cliente recibe una orden externa y la procesa por sí mismo. Cuando entre la orden y la acción no hay ninguna pregunta al usuario, cualquiera que sepa hacer llegar esa orden puede leer archivos del disco. Con los datos disponibles no está claro si para entregarla hace falta pulsar un enlace o abrir un mensaje.

Por qué los archivos de sesión valen más que los documentos

Telegram Desktop guarda los datos locales de la sesión en el directorio tdata. Es un objetivo conocido desde hace tiempo para el malware: los stealers copian esta carpeta entera para abrir después la cuenta ajena en otra máquina sin introducir el código recibido por SMS. Si la vulnerabilidad permitía llevarse archivos arbitrarios, tdata encabezaba la lista.

El código de acceso local del cliente de escritorio cifra los datos locales, pero muchos usuarios no lo activan. La contraseña en la nube de la verificación en dos pasos protege el inicio de sesión desde un dispositivo nuevo, aunque una sesión robada plantea dudas sobre el modelo de protección. Los detalles dependen de qué se lograba extraer exactamente.

Además de las sesiones, están expuestos los documentos de trabajo, las claves, las exportaciones, las configuraciones y todo lo que haya en el perfil del usuario. En los portátiles corporativos, donde el mensajero convive con accesos a sistemas internos, esto constituye un capítulo de riesgo aparte.

Ya hay un precedente. En abril de 2024, unos investigadores demostraron que Telegram Desktop en Windows ejecutaba sin advertencia ciertos tipos de archivos, incluidos scripts de Python. La compañía añadió entonces un aviso. El patrón se repite: la comodidad al trabajar con adjuntos y enlaces choca con la protección frente a la ejecución de acciones ajenas en el ordenador.

Qué está confirmado y qué no

• Quién lo encontró: investigadores de BeakSec • Dónde: Telegram para ordenadores personales • Mecanismo: manejador especial, envío de archivos sin confirmación • Visibilidad para el usuario: la acción ocurre sin que se note • Qué está en riesgo: archivos de sesión de Telegram y otros datos accesibles al usuario • No se ha revelado: CVE, versiones, plataformas, estado del parche, evidencias de explotación

Qué hacer ahora

Primero: actualizar el cliente a la última versión y comprobar si ha salido una versión reciente con la corrección. Mientras la fuente no recoja una confirmación oficial de Telegram, los plazos del parche siguen siendo una incógnita.

Segundo: abrir «Ajustes → Dispositivos» y cerrar las sesiones desconocidas. Lleva un minuto. De paso, activar la contraseña en la nube de la verificación en dos pasos y el código de acceso local en el cliente de escritorio.

Tercero: no abrir enlaces ni archivos de contactos desconocidos en la versión de escritorio y, si hace falta, usar el cliente web o la aplicación móvil. En los equipos de trabajo conviene mantener el mensajero bajo un perfil independiente, sin acceso a directorios sensibles.

Para los equipos de seguridad de la información: añadir a la monitorización del EDR los accesos al directorio tdata desde procesos ajenos y el tráfico saliente de Telegram hacia direcciones inusuales. Mientras no se publiquen los detalles, hay que vigilar el comportamiento del cliente y no firmas concretas.