Независимые исследователи-реверсеры окончательно расковыряли этот кусок кода, и результаты оказались настолько эпичными, что приложение официально признали шпионским ПО.
Как работает оригинальный ТГ... клиент и сервер жмут друг другу руки, шифруя данные вшитым в приложение публичным RSA-ключом, чтобы сгенерировать сессионный AES-ключ. Что сделали казанские гении из Telega? Они залезли в библиотеку
libtmessages.49.so и добавили туда свой, левый RSA-ключ. При запуске клиент стучится на сервер api.telega.info, получает подменные IP-адреса дата-центров (которые, что характерно, принадлежат автономной системе, подозрительно связанной с инфраструктурой VK) и... принудительно разлогинивает юзера 🙂Хомячок видит плашку:
Перезайдите в аккаунт, чтобы ускорить соединение
Он вводит код из СМС, клиент использует левый RSA-ключ и устанавливает зашифрованный канал не с дата-центром Дурова, а с сервером-прокладкой сами знаете откуда. Бинго! Теперь админы Telega могут читать, модифицировать и удалять любую вашу переписку 🚪
Чтобы работать было комфортнее, разрабы выключили базовые настройки безопасности:
🟢 Perfect Forward Secrecy умножен на ноль. В официальной Телеге этот флаг захардкожен в
true, чтобы сессионные ключи постоянно менялись. В Telega он управляется с их сервера и по дефолту отключен. Трафик можно расшифровывать постфактум.🟢 Секретные чаты вырезаны. Через Firebase remote config флаг
enable_sc переведен в false. Клиент тупо прячет кнопку создания секретного чата и молча дропает входящие инвайты. Юзер даже не узнает, что ему пытались написать безопасно.Анонимусы-реверсеры набрутили тестовые стенды админ-панелей разработчиков и выяснилось, что у Telega есть своя параллельная система цензуры. Первая панель, "Zeus" - это типа тикетница, куда падают прямые запросы на блокировку контента.
Вторая, "Cerberus" - ИИ-мясорубка, которая в реальном времени анализирует сообщения. Если сработывает запрет, то юзер в клиенте видит заглушку... "материалы недоступны в связи с нарушениями правил платформы". Хомяк думает, что это злой Дуров забанил канал, а по факту сами понимаете кто... 👮♂️
Но тут случается былинный отказ... Cloudflare посмотрел на этот цирк с перехватом трафика и повесил на домены Telega метку Spyware/Malware 😮
Сразу после этого международный удостоверяющий центр GlobalSign отозвал их TLS-сертификат. А модераторы Apple, увидев отозванный серт и метку малвари, дропнули приложение из App Store.
Разрабы тут же попытались сделать грамотный ход при плохой игре, выдав:
Нас удалили из-за набега хейтеров с плохими отзывами!
Ага, понял... получается сертификаты вам тоже хейтеры в комментариях отозвали, верим 😂
Типичный 🥸 Сисадмин