Многие массово качают клиент «Telega» для обхода блокировок, не подозревая, что добровольно отдают свои сессии под перехват. Сейчас на уровне кода разберём, как устроена их MITM-атака и как защитить свою инфраструктуру.
Telega (АО «Телега», ранее «Даль») — это альтернативный клиент, разработчики которого 18 марта 2026 года активировали принудительный перехват трафика. Клиент обращается к серверу за списком подменённых дата-центров.curl -s https://api.telega.info/v1/dc-proxy
# Возвращает подменённые IP адреса дата-центров в формате JSON (например, 130.49.152.X)
Трафик перенаправляется на собственные серверы проекта, а проверка владельца подсети выдает прямую связь с экосистемой VK.whois 130.49.152.0 | grep AS
# Вывод покажет AS203502 JOINT STOCK COMPANY TELEGA
# Единственный апстрим: AS47764 LLC VK
Но подмена IP — это только половина атаки. Чтобы читать зашифрованный трафик, разработчики вшили дополнительный RSA-ключ в динамическую библиотеку клиента.strings libtmessages.49.so | grep -A 1 "BEGIN RSA PUBLIC KEY"
# Найдено 4 ключа. Ключ по адресу 0x15788E1 является подставным и отсутствует в официальном клиенте
Именно этот четвёртый ключ позволяет их серверам успешно завершать криптографическое рукопожатие, выступая "человеком посередине". Более того, клиент получает с сервера конфигурацию (Remote Config), которая принудительно ослабляет криптозащиту.// Принудительное отключение Perfect Forward Secrecy и секретных чатов
DcConfig.options.use_pfs = false;
FeatureManager.currentInstance().isSCEnabled() = false;
Секретные чаты (End-to-End) тихо игнорируются, а выключенный PFS позволяет злоумышленникам расшифровать весь записанный трафик в будущем, если ключи будут скомпрометированы. Просто удалить приложение с телефона недостаточно, так как активная сессия уже находится на их серверах.1. Принудительно отозвать сессии:
В официальном клиенте Telegram -> Настройки -> Устройства -> Завершить все другие сеансы
2. Заблокировать подсети злоумышленников на корпоративном фаерволе:
iptables -A OUTPUT -d 130.49.152.0/24 -j DROP
iptables -A OUTPUT -d 130.49.224.0/19 -j DROP
Если ты или твои коллеги обсуждали важные данные с пользователями Telega, считай эту информацию известной третьим лицам.
Источники:
Telega: как «удобный клиент Telegram» превратили в MITM с цензурой и ИИ-надзирателем
В интернете появился полный теханализ MITM-атаки в клиенте Telega от неизвестного источника
Остальные статьи по теме: habr.com habr.com habr.com habr.com habr.com habr.com habr.com habr.com habr.com habr.com habr.com
❗️❗️❗️ Нравится формат? Ставь 👍
👉 Рубрика: #News@LinuxSkill
⭐️ Зеркало в MAX
#telega #mitm #infosec #telegram