Telegram sur PC : BeakSec a trouvé un moyen d'exfiltrer discrètement des fichiers sans confirmation

Les chercheurs en sécurité de BeakSec ont découvert dans Telegram pour ordinateur une vulnérabilité qui permettait de récupérer discrètement des fichiers sur la machine de la victime. L'attaquant utilisait un gestionnaire spécial, et le client envoyait les fichiers sans aucune confirmation supplémentaire de la part de l'utilisateur. Ni boîte de dialogue, ni avertissement. Les fichiers de session Telegram sont menacés, ainsi que tout ce à quoi l'utilisateur a accès. C'est ce que rapporte CNews.

Ce que l'on sait de la vulnérabilité

Les détails publics sont maigres. Le message d'origine ne mentionne ni numéro CVE, ni liste des versions concernées, ni plateformes touchées (Windows, macOS, Linux), ni information sur la publication éventuelle d'un correctif. Il ne dit pas non plus si la faille a été exploitée dans des attaques réelles ou si elle est restée dans le cadre de la recherche.

Le point clé est décrit sans ambiguïté : l'étape de confirmation est absente. En général, ce type de schéma repose sur un client qui reçoit une commande externe et la traite lui-même. Quand aucune question n'est posée à l'humain entre la commande et l'action, quiconque sait livrer cette commande peut lire les fichiers du disque. Les données disponibles ne permettent pas de dire si cette livraison exige un clic sur un lien ou l'ouverture d'un message.

Pourquoi les fichiers de session valent plus que des documents

Telegram Desktop stocke les données de session locales dans le répertoire tdata. C'est depuis longtemps une cible connue des logiciels malveillants : les stealers copient ce dossier en entier pour ouvrir ensuite le compte d'une autre personne sur une autre machine, sans saisir le code reçu par SMS. Si la vulnérabilité permettait de récupérer des fichiers arbitraires, tdata arrivait en tête de liste.

Le code d'accès local du client de bureau chiffre les données locales, mais bien peu d'utilisateurs l'activent. Le mot de passe cloud de la vérification en deux étapes protège la connexion depuis un nouvel appareil, mais une session volée pose question quant au modèle de protection. Les détails dépendent de ce qu'il était réellement possible d'extraire.

Au-delà des sessions, les documents de travail, les clés, les exports, les configurations et tout ce qui se trouve dans le profil de l'utilisateur sont exposés. Pour les ordinateurs portables d'entreprise, où la messagerie côtoie des accès aux systèmes internes, cela constitue un poste de risque à part.

Il existe déjà un précédent. En avril 2024, des chercheurs ont montré que Telegram Desktop sous Windows lançait certains types de fichiers, dont des scripts Python, sans avertissement. L'entreprise avait alors ajouté un avertissement. Le schéma se répète : la commodité de manipulation des pièces jointes et des liens entre en conflit avec la protection contre l'exécution d'actions étrangères sur l'ordinateur.

Ce qui est confirmé, et ce qui ne l'est pas

• Qui l'a trouvée : les chercheurs de BeakSec • Où : Telegram pour ordinateur • Mécanisme : gestionnaire spécial, envoi de fichiers sans confirmation • Visibilité pour l'utilisateur : l'action se déroule discrètement • Ce qui est menacé : les fichiers de session Telegram et les autres données accessibles à l'utilisateur • Non divulgué : CVE, versions, plateformes, état du correctif, exploitation avérée

Que faire dès maintenant

Premièrement : mettre à jour le client vers la dernière version et vérifier si une version récente contenant le correctif est sortie. Tant que la source ne contient aucune confirmation officielle de Telegram, le calendrier du correctif reste une inconnue.

Deuxièmement : ouvrir « Paramètres → Appareils » et fermer les sessions inconnues. Cela prend une minute. Dans la foulée, activer le mot de passe cloud de la vérification en deux étapes et le code d'accès local dans le client de bureau.

Troisièmement : ne pas ouvrir de liens ni de fichiers provenant de contacts inconnus dans la version de bureau et, si nécessaire, utiliser le client web ou l'application mobile. Sur les postes de travail, il est judicieux de faire tourner la messagerie sous un profil distinct, sans accès aux répertoires sensibles.

Pour les équipes de sécurité informatique : ajouter à la supervision EDR les accès au répertoire tdata par des processus tiers, ainsi que le trafic sortant de Telegram vers des adresses inhabituelles. Tant que les détails ne sont pas publiés, il faut vérifier le comportement du client plutôt que des signatures précises.