Uma vulnerabilidade no Telegram para Android podia ser explorada quando o utilizador atendia uma chamada de voz. A falha, combinada com outras duas vulnerabilidades, permitia obter controlo total do telemóvel, incluindo acesso às mensagens, ao microfone e à câmara.
A descoberta foi divulgada nesta quinta-feira, 29 de outubro, pela empresa de segurança NebuSec. O problema já foi corrigido na versão 12.10.4, disponibilizada no final de setembro.
Como funcionava o ataque
Como explica o site The Hacker News, para iniciar o ataque, bastava ao criminoso ter uma conta normal do Telegram e conseguir que a vítima atendesse uma chamada. Não era necessário convencê-la a instalar outra aplicação ou abrir uma ligação.
O problema estava na forma como a aplicação processava pequenas mensagens técnicas trocadas durante a chamada, usadas para comunicar informações como o estado do microfone e da câmara. Quando faltavam determinados dados, o Telegram podia aceder indevidamente à memória.
A falha, por si só, não dava controlo total do smartphone. Segundo a NebuSec, era necessário combiná-la com uma vulnerabilidade que expunha informações e outra no Android que permitia obter permissões máximas no sistema.
Como verificar se o teu Telegram está protegido
Segundo a NebuSec, o problema afeta as versões 8.6.2 a 12.10.3, lançadas entre março de 2022 e setembro de 2026. Para verificares a tua versão, abre as Definições do Telegram e consulta o número no fundo da página. Se for anterior à 12.10.4, atualiza a aplicação.
Como o ataque exige que a vítima atenda, recusar a chamada impede esta forma de exploração. Definir a opção de privacidade das chamadas como "Ninguém" também bloqueia esta via de ataque, embora não substitua a atualização.
Os investigadores confirmaram o problema em chamadas privadas de voz em smartphones Android com arquitetura ARM64. Até ao momento, não apresentaram provas de que o mesmo ataque funcione nas aplicações para iOS e computador ou em chamadas de grupo.
Vê também: Atenção ao instalar o WhatsApp no Android: app falsa passou dos 500 mil downloads
