🔥 В Telegram Desktop исправили уязвимость, позволявшую похищать данные аккаунта Переход по одной ссылке в Telegram Desktop заканчивался кражей файлов с диска и угоном аккаунта. Ни эксплойта, ни порчи памяти, ни запроса подтверждения. Уязвимость CVE-2026-107181 закрыли в релизе 7.2.9 от 17 сентября 2026 года. Механика. Клиент делит внутренние команды точкой с запятой, но символ «;» в ссылках tg:// не экранировал. В URL дописывались чужие инструкции, и мессенджер принимал их за свои. Дальше в игре dev-обработчик interpret:, доступный через внедрённую команду OPEN:. Проверки инициатора там не было. Он читал произвольные файлы и отправлял их в чат. Обработчик держали для внутренних задач вроде публикации релизов. Сценарий. Атакующий создаёт группу и добавляет жертву: дефолтные настройки приватности это разрешают. В группу падают три текстовых файла с путями и адресом группы для выгрузки. Telegram Desktop качает файлы из групповых чатов до 8 Мбайт сам, без спроса. Потом публикуется HTTPS-ссылка с редиректом на tg://, второй процесс Telegram передаёт команды уже работающему экземпляру. Что ушло: → key_datas: соль и зашифрованный DEK локального хранилища → D877F783D5D3EF8Cs: зашифрованные данные MTProto-авторизации → D877F783D5D3EF8C/maps: индекс локального хранилища аккаунта Три файла скопировали в tdata другой машины, и сессия жертвы поднялась целиком. По данным «Хакер», BeakSec показывал атаку на Windows-клиенте; тем же путём уходили любые файлы, к которым был доступ у Telegram. В 7.2.9 разбор разделителей починили, а interpret: вырезали целиком. Локальный код-пароль усложняет вход в уже угнанную сессию, но от кражи файлов не спасает. Меня цепляет не Telegram, а класс дефекта: отладочный обработчик доехал до релизного клиента с правом читать диск и без проверки вызывающего. В CVE-фидах такое искать поздно. Детект остаётся на file-read телеметрии EDR: Sysmon в дефолтном конфиге чтение файлов не покажет, а за обращениями к %APPDATA%\Telegram Desktop\tdata стоит присматривать отдельно. #Telegram #TelegramDesktop #tdata #sessionhijack