Если вы пользуетесь Telegram Desktop версии 7.2.8 или старее — срочно обновитесь! Иначе вы рискуете не увидеть эфемерные сообщения от лолса об изменении репутации 😝

И ещё около недели тому назад опубликовали способ захвата аккаунта Telegram всего за пару кликов.

Способ довольно хитровыдуманный: для успешной атаки должно одновременно выполняться несколько условий:

Включена автозагрузка медиа. Найти эту настройку можно в разделе «Продвинутые настройки».

Не изменён путь сохранения загружаемых файлов. Должен использоваться путь по умолчанию (Downloads\Telegram Desktop).

Telegram установлен в профиль пользователя, например в C:\Users\<NAME>\AppData\Roaming, а не в системную папку C:\Program Files\.

В настройках конфиденциальности разрешено всем добавлять вас в группы. По-умолчанию именно так, но я всем рекомендую поменять эту настройку, чтобы не оказываться неожиданно в непонятных группах.

Не установлен код-пароль Telegram. Речь о локальном пароле (не облачном!), который настраивается в разделе «Конфиденциальность».

Вы переходите по специальной ссылке от злоумышленника и подтверждаете запуск Telegram в появившемся диалоговом окне — примерно так, как показано на картинке к посту.

Если все условия соблюдены, злоумышленник добавляет вас в свою группу и отправляет туда специально подготовленную ссылку. Вы переходите по ней, соглашаетесь запустить Telegram, после чего клиент открывается буквально на секунду и сразу закрывается. В процессе атаки Telegram отправляет в группу файл с сессией вашего аккаунта. Получив этот файл, злоумышленник сможет получить доступ к вашему аккаунту без обычного входа по номеру телефона.

Более того, уязвимость позволяет получить и другие файлы, к которым у вас есть доступ. Но для этого злоумышленнику необходимо заранее знать полный путь к нужному файлу.

Есть и другой вариант: вместо того чтобы добавлять вас в свою группу, злоумышленник может попытаться использовать аналогичный способ в группе, участником которой вы уже являетесь. Однако если в ней есть лолс, он такую ссылку не пропустит 😏

Что может помешать атаке?

Установлен код-пароль Telegram. Файл сессии зашифрован паролем, поэтому злоумышленнику сначала придётся попытаться его расшифровать.

Telegram установлен в системную папку. В таком случае злоумышленнику потребуется знать или подобрать имя вашего пользователя Windows. Это возможно, но усложняет атаку.

Изменён путь сохранения файлов. Злоумышленнику придётся определить правильную директорию. Количество попыток при этом ограничено.

Отключена автозагрузка файлов. Тогда описанный сценарий не сработает, если только вы сами не скачаете присланный файл до перехода по ссылке.

Уязвимость действительно серьёзная, но её эксплуатация зависит от сочетания нескольких условий. Поэтому атака может сработать далеко не у каждого пользователя.

Что же делать? Прежде всего обновите Telegram Desktop до актуальной версии. Также проверьте настройки автозагрузки, конфиденциальности и код-пароля. Облачный пароль тоже рекомендую установить — последнюю неделю какие-то черти каждый день запрашивают коды для анонимных номеров +888 🙈

И, конечно, не переходите по подозрительным ссылкам, даже если они не выглядят подозрительно (там может быть редирект) 😀