Telegram para Windows possuía falha que poderia permitir scripts maliciosos

Os utilizadores do Telegram no Windows devem atualizar o mais rapidamente possível a aplicação, tendo em conta que foi corrigida uma vulnerabilidade na mesma que poderia ser explorada por atacantes para enviar código malicioso.

Faz alguns dias que, pelas redes sociais, foram revelados alguns casos de utilizadores a relatarem a existência de uma falha no cliente do Telegram para Windows, que poderia permitir a execução de código nos sistemas. A falha, se explorada, permite que algumas mensagens de proteção da app sejam contornadas, e o sistema execute código Python.

Na altura em que estes conteúdos começaram a surgir pelas plataformas sociais, o Telegram negou a existência de problemas. No entanto, a falha viria a ser, eventualmente confirmada, quando um utilizador revelou ter descoberto uma falha no código fonte da app.

Embora o Telegram alerte quando conteúdos potencialmente nocivos sejam recebidos de conversas, foi descoberto que o programa estaria a ignorar ficheiros com a extensão .pyzw. Quando executados no sistema, estes comportam-se como ficheiros de scripts Python regulares, e podem executar código malicioso no mesmo, se assim for criado.

Além disso, o script poderia ainda ser enviado para as possíveis vitimas mascarado como outros conteúdos, como um vídeo, que surgia na conversa com o título e como se fosse um ficheiro multimédia real.

Embora algumas fontes apontassem que a vulnerabilidade não exigia a interação dos utilizadores, o Telegram viria a confirmar que a falha apenas pode ser explorada se as vítimas ativamente executarem o conteúdo. Ainda assim, será considerada uma falha, tendo em conta que é possível contornar algumas das medidas de proteção que o Telegram integra para ficheiros descarregados de fontes desconhecidas.

A falha estaria derivada com a forma como o Telegram alerta para ficheiros potencialmente danosos. O código fonte teria indicado para alertar no caso de ficheiros “pywz”, invés do correto “pyzw”. Este pequeno erro levaria ao conteúdo ser executado sem avisos do cliente do Telegram.

O Telegram terá corrigido a falha, sendo que a mais recente versão do Cliente do Telegram para Windows já não possui o problema. Os utilizadores são aconselhados a atualizarem as suas aplicações o mais rapidamente possível para evitarem a possível exploração para ataques.