Telegram corrige falha que permitia envio de malwares como vídeos
Por Guilherme Haas |
Pesquisadores da ESET descobriram uma falha de segurança de dia zero no Telegram para Android, chamada EvilVideo, que permitia a distribuição de arquivos maliciosos disfarçados de vídeos. A falha foi anunciada em um fórum no começo de junho de 2024 e comunicada à equipe do Telegram no mesmo mês. A vulnerabilidade foi corrigida na versão 10.14.5 do aplicativo, lançada em 11 de julho.
- Clique e siga o Canaltech no WhatsApp
- Novo malware possibilita a invasão de contas bancárias de brasileiros
A falha foi analisada por especialistas que identificaram que o exploit funcionava especificamente nas versões 10.14.4 e anteriores do Telegram para Android.
Falha de segurança no Telegram
A vulnerabilidade aproveitava a capacidade do Telegram de pré-visualizar arquivos de mídia, fazendo com que o usuário baixasse automaticamente o conteúdo malicioso ao abrir a conversa onde o arquivo era compartilhado.
Se o usuário tentasse reproduzir o "vídeo", uma mensagem era exibida sugerindo o uso de um reprodutor externo, o que na verdade levava à instalação de um aplicativo malicioso.
Segundo a análise da ESET, "é a natureza da vulnerabilidade que faz com que o arquivo compartilhado pareça um vídeo — o aplicativo malicioso real não foi alterado para se passar por um arquivo multimídia, o que sugere que o processo de upload provavelmente foi explorado”.
O malware aparecia como um vídeo de 30 segundos, mas na verdade era um arquivo APK disfarçado. O Telegram lançou uma atualização (versão 10.14.5) no dia 11 de julho que corrige o problema.
A correção garante que a pré-visualização de mídia no chat agora exiba corretamente a natureza do arquivo compartilhado, impedindo que arquivos APK sejam disfarçados como vídeos. “Verificamos que a pré-visualização de mídia no chat agora exibe corretamente que o arquivo compartilhado é um aplicativo e não um vídeo”, confirmaram os analistas da ESET.
Apesar de a vulnerabilidade ter afetado apenas a versão para Android do Telegram, foram realizados testes nas versões Web e Desktop, onde o exploit não funcionou. Em ambas as plataformas, o arquivo foi tratado como um binário APK, impedindo que a falha fosse explorada.
Fonte: ESET