Глаз Гора

Опасная уязвимость в Telegram Desktop: кража любых файлов в один клик

Чего делать НЕЛЬЗЯ и как защититься:
• Не оставайтесь на версиях ниже 7.2.9 — срочно обновите клиент. Если вы используете неофициальный клиент, временно перейдите на официальный, пока не выйдет обновление.

Скачать:
• Windows / macOS / Linux: официальный сайт или GitHub.
• Windows: Microsoft Store.
• macOS: App Store.
• Linux: Flathub,Snapcraft.

Совет для пользователей старых клиентов:

• Ссылки опасны: кликая по любым ссылкам, внимательно читайте всплывающее окно — если Telegram показывает в ссылке странную структуру (например, начинается с tg://), не переходите по ней.

• Не держите клиент без локального код-пароля: его включение шифрует файлы сессии в каталоге tdata, предотвращая мгновенный захват аккаунта даже при их утечке.

В чём суть проблемы?

В клиентах Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181). Из-за отсутствия экранирования разделителя ; параметры в ссылках схемы tg:// распознавались как отдельные IPC-команды. С помощью служебного обработчика interpret: атакующий мог при клике на подготовленную ссылку незаметно отправить файлы с системы в свой канал без подтверждения со стороны пользователя.

Главный риск

Опасность не ограничивается только перехватом файлов сессии tdata и угоном аккаунта. Эксплуатация позволяет скрытно украсть абсолютно любые файлы на компьютере, к которым у пользователя есть доступ: документы, сохранённые сессии браузеров, SSH-ключи, системные конфигурации или кошельки с криптовалютой.

#безопасность #desktop #уязвимости

Бывший московский оперативник получил 13 лет колонии — за слив секретных данных боту для пробива "Химера".

По данным Mash, сотрудник МВД Антон Н. продавал сервису информацию о людях из секретной базы данных. После её заливали в "Химеру" и продавали услуги по пробиву. Среди слитой Нестеровым инфы — в том числе базы пересечений российской границы с фото граждан.

Руководство "Химеры" всё ещё финансово поддерживает своего информатора — в обмен на молчание об их сотрудничестве. По нашей информации, "Химера" может повторить судьбу закрытого "Глаза Бога" — пробивы снова активно зачищают спецы.

"Химера" стала приносить в разы меньше дохода после краха индустрии украинских мошеннических кол-центров — в августе и сентябре её убили рейды и антикоррупционная операция "Карфаген". Раньше доход бота в месяц оценивали в $5 млн — сейчас $250-500к. Это косвенно подтверждает, что за анонимным проектом стоят украинцы. На фото — скрин закрытой версии "Химеры" с базами для КЦ, которые разводят людей по телефону.

Химеровцы уже запустили новый проект NOX с тем же функционалом и рефералкой "приведи друга". Рекламу ботов-шпионов размещали популярные блогеры — Даня Милохин, Влад Миров, Екатерина Шкуро. Тем, кто не гнушается пиарить рынок пробива, грозят штрафы и даже тюрьма по 272 УК РФ.

❗ Подписывайся на Mash в MAX | Telegram

⭐️ Дешевые звезды в телеграм

Сейчас у многих сервисов возникают проблемы с оплатой через СБП и российские карты. Поэтому всё больше сервисов принимают оплату в Telegram Stars.

Купить звёзды по лучшему курсу можно здесь 👇

👉 @Starss

💳 Доступна оплата:

• через СБП
• банковскими картами
• международными картами

⭐️ Купил звёзды → оплатил нужный сервис прямо в Telegram.

Покупка занимает пару минут

Жителю Тюмени дали восемь лет колонии за 130 Telegram Stars на 293 рубля.

57-летний Михаил Антонович оставлял платные реакции под постами

По материалам обвинения, Антонович поставил 130 Telegram Stars общей стоимостью 292,99 рубля под публикациями в каналах Александра Невзорова, Майкла Наки, Александра Шпака и Тараса Березовца. Следствие утверждало, что эти каналы поддерживали или собирали средства для формирований, которые российские власти относят к террористическим, включая РДК, легион «Свобода России» и «Азов». Именно поэтому платные реакции были квалифицированы как финансирование терроризма.

22 сентября правозащитный проект «Поддержка политзаключённых. Мемориал» обратился к Павлу Дурову с предложением сделать отправителей платных реакций анонимными по умолчанию либо предоставить такую настройку, поскольку сейчас профиль отправителя Stars может отображаться публично.