Один из инженеров Google Дэн Рева нашел уязвимость в приложении Telegram для macOS. Она позволяет злоумышленникам получить доступ к камере и микрофону компьютера.
Позже его пост заметил исследователь в области информационной безопасности Мэтт Йохансен. По его словам, уязвимость была впервые обнаружена еще в феврале. Тогда же данные о ней были отправлены в Telegram, однако представители мессенджера так и не ответили. Теперь Рева решил опубликовать информацию о ней.
Заключается эксплойт в том, что Telegram не всегда использует Hardened Runtime и Entitlements — встроенные Apple в macOS средства защиты. Первое не позволяет вредоносному коду внедряться в систему, а второе — отвечает за контроль прав доступа программ к микрофону и камере.
Соответственно в их отсутствие злоумышленники могут внедрить стороннюю динамическую библиотеку. Она, обозначаясь для системы как Telegram, может записывать видео с веб-камеры и звук с микрофона, сохраняя их в файл.
Это станет возможным только в том случае, если вы разрешили Telegram доступ к вашей камере и микрофону, но вряд ли вы его запретили.
Кстати, позже из-за этой же уязвимости злоумышленники смогут получить доступ к камере и микрофону в целом, а не только в приложении Telegram. Для этого они могут воспользоваться механизмом LaunchAgent — системной службой сценариев в macOS.
Тогда вредоносная динамическая библиотека сможет запускаться сразу после включения компьютера и без необходимости открытия Telegram.
Но не стоит спешить ругать Telegram. Отчасти ответственность за наличие такой уязвимости лежит и на Apple. Компания почему-то требует обязательного наличия своих инструментов защиты только в приложениях для iOS, а на macOS разработчики программ могут ею и не пользоваться.