Telegram para PC: BeakSec encontra forma de extrair arquivos em silêncio, sem confirmação

Pesquisadores de segurança da BeakSec descobriram no Telegram para computadores uma vulnerabilidade que permitia levar arquivos da máquina da vítima de forma imperceptível. O atacante usava um manipulador especial, e o cliente enviava os arquivos sem qualquer confirmação adicional do usuário. Nenhuma janela de diálogo, nenhum aviso. Estão em risco os arquivos de sessão do Telegram e tudo mais a que o usuário tem acesso. A informação é do CNews.

O que se sabe sobre a vulnerabilidade

Há poucos detalhes públicos. A notícia original não traz o número do CVE, a lista de versões afetadas, as plataformas (Windows, macOS, Linux) nem informa se a correção já foi lançada. Também não diz se a falha foi usada em ataques reais ou se ficou restrita ao âmbito da pesquisa.

O detalhe central é descrito sem ambiguidade: falta a etapa de confirmação. Esse tipo de esquema normalmente funciona assim: o cliente recebe um comando externo e o processa por conta própria. Quando não há uma pergunta ao usuário entre o comando e a ação, qualquer pessoa capaz de entregar esse comando passa a poder ler arquivos do disco. Os dados disponíveis não deixam claro se a entrega exige um clique em um link ou a abertura de uma mensagem.

Por que os arquivos de sessão valem mais que documentos

O Telegram Desktop guarda os dados locais da sessão no diretório tdata. Esse é um alvo conhecido há tempos por malwares: os stealers copiam a pasta inteira para depois abrir a conta alheia em outra máquina, sem precisar digitar o código recebido por SMS. Se a vulnerabilidade permitia levar arquivos arbitrários, o tdata certamente estava no topo da lista.

A senha local (passcode) do cliente desktop criptografa os dados locais, mas longe de todos os usuários a ativam. A senha na nuvem da verificação em duas etapas protege o login em um novo dispositivo, mas uma sessão sequestrada levanta dúvidas sobre o modelo de proteção. Os detalhes dependem do que exatamente era possível extrair.

Além das sessões, ficam expostos documentos de trabalho, chaves, exportações, configurações e tudo o que estiver no perfil do usuário. Em notebooks corporativos, onde o mensageiro convive com acessos a sistemas internos, isso representa um item de risco à parte.

Já houve um precedente. Em abril de 2024, pesquisadores mostraram que o Telegram Desktop no Windows executava alguns tipos de arquivo, incluindo scripts Python, sem aviso. A empresa adicionou um alerta na ocasião. O padrão se repete: a conveniência no trabalho com anexos e links entra em conflito com a proteção contra a execução de ações alheias no computador.

O que está confirmado e o que não está

• Quem encontrou: pesquisadores da BeakSec • Onde: Telegram para computadores • Mecanismo: manipulador especial, envio de arquivos sem confirmação • Visibilidade para o usuário: a ação ocorre de forma imperceptível • O que está em risco: arquivos de sessão do Telegram e outros dados acessíveis ao usuário • Não divulgado: CVE, versões, plataformas, status do patch, indícios de exploração

O que fazer agora

Primeiro: atualizar o cliente para a versão mais recente e verificar se saiu uma versão nova com a correção. Enquanto a fonte não traz confirmação oficial do Telegram, o prazo do patch continua em aberto.

Segundo: abrir «Configurações → Dispositivos» e encerrar as sessões desconhecidas. Leva um minuto. Aproveite para ativar a senha na nuvem da verificação em duas etapas e a senha local (passcode) no cliente desktop.

Terceiro: não abrir links nem arquivos de contatos desconhecidos na versão desktop e, se necessário, usar o cliente web ou o aplicativo móvel. Em máquinas de trabalho, é sensato manter o mensageiro em um perfil separado, sem acesso a diretórios sensíveis.

Para as equipes de segurança da informação: incluir no monitoramento do EDR os acessos ao diretório tdata por processos externos e o tráfego de saída do Telegram para endereços incomuns. Enquanto os detalhes não forem publicados, é preciso verificar o comportamento do cliente, e não assinaturas específicas.