Как сделать слежку в телеграмме

Через Telegram можно узнать реальный адрес человека. И для этого не нужно быть хакером

Telegram позволяет за несколько минут вычислить точные координаты своих пользователей, использующих встроенный сервис «Люди рядом». Алгоритм обнаружения прост, что дает возможность следить за нужным человеком даже тем, у кого нет никаких навыков хакинга. Аналогичная брешь была обнаружена в японском мессенджере Line несколько лет назад, но разработчики очень оперативно устранили ее.

Слежка при помощи Telegram

В мессенджере Павла Дурова Telegram обнаружена уязвимость, позволяющая определять точное местонахождение любого пользователя. Об этом в начале января 2021 г. сообщил в своем блоге пользователь Ахмед Хасан (Ahmed Hassan), обнаруживший, что можно вычислить очень точные координаты тех, кто пользуется Telegram.

Уязвимость скрывается в сервисе «Люди рядом», встроенном в мессенджер. С его помощью можно находить пользователей Telegram, находящихся поблизости – их место дислокации определяется по GPS-координатам и отслеживается в реальном времени. Сам мессенджер не раскрывает координаты пользователей, а лишь указывает точное расстояние до них, но этого уже достаточно для вычисления их местоположения и даже адреса проживания, если они подключились к Telegram из дома.

Сервис «Люди рядом» был добавлен в Telegram в июне 2019 г. и первоначально носил название «Люди поблизости». В феврале 2020 г. он получил обновление до версии 2.0.

Как работает уязвимость

Для вычисления координат того или иного человека в Telegram, по словам Ахмеда Хасана, нужно использовать метод триангуляции. На первом этапе нужно три раза изменить собственное местоположение, фиксируя при этом расстояние до нужного пользователя и свои же GPS-координаты.

Затем нужно на карте местности начертить три окружности, центром которых будут собственные координаты, а радиусом – расстояние до объекта слежки, указанное в Telegram. Этих простых действий достаточно, чтобы определить, где он находится – он будет там, где все три окружности пересекутся на карте.

Важный момент: отследить таким способом можно тех людей, кто пользуется в Telegram функцией «Люди рядом». Она требует включенного GPS-модуля, и объектом слежки может оказаться каждый. Для предотвращения всех попыток отследить ваше место дислокации третьими лицами при помощи данной уязвимости нужно прекратить пользоваться сервисом «Люди рядом» и отозвать у Telegram разрешение на доступ к геолокации.

Следить могут за каждым

Отследить местоположение пользователя Telegram можно вне зависимости от того, в какой стране или в каком городе он проживает. Например, спустя несколько дней после публикации статьи Ахмеда Хасана и его тестов, проведенных в Нью-Йорке (США), исследователь Андрей Копелян опубликовал на своем сайте Debug Pro результат использования уязвимости мессенджера в Нур-Султане (Казахстан).

Он скачал из Google Play одно из приложений-трекеров, использующих GPS, выбрал в Telegram совершенно случайного пользователя, применил алгоритм с тремя окружностями, и через несколько минут у него на руках был точный адрес этого человека, вплоть до дома.

По словам Андрея Копеляна, Telegram позволяет полностью идентифицировать пользователя при использовании дополнительной информации. Так, человек, которого он выбрал для проверки метода слежки, оставил номер своего телефона в открытом доступе, а также опубликовал свою реальную фотографию. Исследователь отметил, что при использовании поисковых систем, того же Google, можно будет найти дополнительные сведения об этом человеке, например, его страницы в соцсетях.

Дурной пример заразителен

Возможность отследить человека через функцию «Люди рядом» (в английской версии – People Nearby), впервые появилась вовсе не в Telegram – изначально такой «сервис» предоставлял японский мессенджер Line. Аналогичную уязвимость одноименной функции в нем обнаружил все тот же Ахмед Хасан.

Хасан связался с разработчиками Line и указал им на обнаруженную проблему. Те оперативно отреагировали на замечание и закрыли брешь в приложении – оно по-прежнему позволяет общаться с людьми поблизости, но теперь к их местоположению прибавляется произвольно взятое число, чтобы отследить их было невозможно.

«Дыры» в Telegram

Telegram, считающийся одним из самых безопасных мессенджеров, на самом деле содержит множество уязвимостей. Например, в августе 2019 г. в нем была обнаружена лазейка, позволявщая властям различных стран вычислять номера телефонов тех, кто участвует в тех или иных акциях протеста и числится в соответствующих группах в мессенджере. Проблему обнаружили эксперты из Гонконга, где на тот момент как раз проходили многотысячные протесты.

В августе 2020 г. выяснилось, что Telegram допускал создание поддельного профиля, маскирующегося под «Избранное», в которое пользователи часто помещают важную информацию, включая фотографии и пароли. Хакеры могли написать пользователю с такого поддельного аккаунта, после чего он начал бы хранить эти сведения в поддельном «Избранном», открывая тем самым доступ к ним третьим лицам. Разработчики оперативно устранили эту брешь.

В сентябре 2020 г. CNews рассказывал, что Telegram «сливал» номера телефонов своих пользователей, притом даже и тех, кто в нем не зарегистрирован. Это давало возможность хакерам и просто третьим лицам вытащить всю информацию из их профилей и в дальнейшем использовать ее для создания поддельных аккаунтов с целью мошенничества. Здесь стоит отметить, что аналогичная проблема была обнаружена также в мессенджерах Signal и WhatsApp, известных своей развитой системой безопасности.

Источник

Ведется ли слежка в телеграмме за россиянами?

Конфиденциальность в Телеграмме – одна из основных особенностей бесплатного мессенджера. Сегодня мы поговорим о всех волнующих вас вопросах по поводу безопасности за свой Telegram-аккаунт. К примеру, один из таких вопросов, среди пользователей Телеграмма на территории Российской Федерации: «Ведется ли слежка за Telegram?». Для разъяснения нам предстоит изучить мессенджер глобально.

Наверняка каждый из вас не захочет, чтобы за ним следили и пользовались его аккаунтом в социальных сетях и популярных мессенджерах. Именно поэтому большинство населения мира выбрало Телеграмм. За время своего существования, Telegram, ни разу не был взломан – это является основной особенностью мессенджера в отличии от других соц. сетей, чьи аккаунты используются и по сей день для разброса в сеть запрещенной информации.

Слежка в Телеграмме, ложь или правда?

Каждый гражданин России наверняка уже не раз слышал о работе Роскомнадзора в социальных сетях (а также о попытки блокировать мессенджер), который старается следить за всем. Но можете не волноваться за себя и личную информацию, хранящуюся в вашем телеграмм аккаунте. Ведь благодаря Павлу Дурову и его команде мы, как и все остальные пользователи мессенджера, можем безопасно общаться и никто не сможет помешать вам.

Как ранее сообщалось главой Telegram, мессенджер не имеет ключей шифрования и отсылаемая информация не хранится на серверах Телеграмма. Что способствует абсолютной безопасности и конфиденциальности личных данных. Поэтому мы с уверенностью можем сказать что прослушка в Telegram – это миф и не чего более. Если вас, каким-то образом взломали (что к счастью невозможно), Телеграмм, отправит вам уведомление в ваш аккаунт с IP адресом и названием устройства, с которого был выполнен вход в учетную запись.

Для постоянного мониторинга, рекомендуем периодически проверять активные сеансы вашего аккаунта через веб телеграм версию: https://web-telegramm.org Если вы увидите там сторонние активные сеансы, знайте кто то еще читает вашу переписку!, надо завершить все такие сеансы прямо из веб телеграмм онлайн!

Если вы вдруг заподозрили что-то неладное в своем телеграмм аккаунте, то советуем незамедлительно прочитать статью о том, как найти и отключить прослушку шпионов.

Источник

Дыры в безопасности телеграм. Как тебя могут пробить и меры предосторожности

Вот пример подобных ботов для пробива
@getmyid_bot (пробивает ID по пересланному сообщению)
@deanonym_bot (пробивает номер телефона по ID, используя ту самую слитую базу).
Иными словами, если ваш номер в базе, то нужно беречь ID как зеницу ока.

Собственно, как инфа о сливе начала распространяться, телеграм принял меры против этого.
Во-первых, всем было предложено сменить никнейм, если он ставился до осени 19 года.
Во-вторых, в настройках конфиденциальности появилась возможность запрещать находить номер телефона, если отсутствуют взаимные контакты.

В общем, предложили выкрутить настройки конфиденциальности на максимум, сменить никнейм и жить спокойно.

Но было бы слишком если так.

Недавно появились боты, которые дают возможность ID по никнейму, даже если он был сменен после 2019 года, да хоть вы никнейм поставили минуту назад.
Суть в том, что эти боты используют уязвимость протокола телеги, которая дает возможность напрямую получать ID, если известен никнейм пользователя. А зная ID, как уже говорилось выше, можно получить и все остальное.
Вот пример ботов, которые делают подобное:

@CheckID_AIDbot (пробивает ID по никнейму вне зависимости от того был он в базе или нет).

Ну и вишенка на торте.

Бот со звучным названием «Глаз бога»
@EyeGodsBot
В нем совмещены функции двух ботов выше + кроме пробива по базе телеги, данный бот представляет собой полноценный «комбайн» для пробива по открытым базам данным. С помощью бота пробивается и сам номер телефона (по базам Getcontact, NumBuster и др.).

В телеграме бот выдает также инфо о том, в каких публичных чатах вы состоите.
А также много еще чего. К сожалению, бот платный. Хотя и не особо дорогой. Кому надо, тот поверьте пробьет.

Есть на самом еще множество OSINT решений для пробива (гугл в помощь).

Кто виноват и что делать?
С первым пунктом все и так понятно. Телеграм никогда не был и не является анонимным и близко. Смешно считать анонимным сервис, в основе архитектуры которого лежат централизованная система серверов Гугл и Амазон, для регистрации нужен телефон, база которых в открытую парсилась вплоть до 2019 года.
Но это еще полбеды. Настоящая проблема в том, что телеграм оказался настолько дырявым, что теперь любой школьник, зная пару-тройку ботов может пробивать других пользователей, получая конфиденциальные сведения.

Теперь же что касается рекомендаций.
1. Если ваш номер уже попал в базу, то самым безопасным вариантом будет просто удалить свой аккаунт. И перезарегистрировать заново. Можно на тот же номер телефона. Предварительно можно скопировать важные контакты и данные, если таковые есть.
Новый аккаунт будет иметь свежий ID, а как мы выяснили это ключевой пункт для любого пробива по телеге.
Желательно все же регистрировать аккаунт на отдельный номер, на которых нет никаких контактов, а после регистрации вывернуть на максимум настройки конфиденциальности.

2. Если Вы попали в базу, но по ряду причин не можете расстаться со старым аккаунтом, то имеет смысл выполнить ряд условий:
— Удалить и больше никогда не использовать никнеймы

3. Ну и следить за новостями вокруг телеграм, чтобы быть в курсе происходящего.

Источник

Как шпионить сообщения Telegram на Android и iPhone

Как шпионить сообщения Telegram на Android и iPhone

С открытием многочисленных каналов связи в Интернете общество в целом претерпело революцию в том, как мы общаемся сегодня. Однако, с другой стороны, это также оказало негативное влияние на современную молодежь, особенно на подростков или молодых людей, которые обмениваются информацией и реагируют на нее, что, в свою очередь, приводит к самым нежелательным и неприятным ситуациям.

Можно ли шпионить за сообщениями Telegram?

Как и WhatApp, Telegram также является одним из таких приложений, которое молодые люди широко используют, и его также необходимо контролировать для обеспечения безопасности. Это популярное приложение для обмена сообщениями, которое можно использовать для общения с друзьями. Кроме того, интерфейс хороший, а система обмена мгновенными сообщениями позволяет легко общаться с вашими близкими. Удивительные наклейки и смайлики тоже могут сделать общение веселым и сделать это отличное приложение для молодежи.

Тем не менее, молодые люди могут также злоупотреблять этим. Вы можете использовать приложения родительского контроля, чтобы шпионить за сообщениями Telegram на мобильный телефон вашего ребенка.

Если вы также смотрите на шпионские приложения Telegram, которые могут помочь вам шпионить телеграммы на устройствах Android и iOS вашего ребенка, эти советы помогут вам сделать это. Вы можете легко следить за сообщениями Telegram одним из следующих способов.

Почему мы должны шпионить за сообщениями Telegram ребенка?

Каждый ответственный родитель должен осознавать, что подростки и несовершеннолетние дети находятся под значительным влиянием таких приложений, как Telegram, которые могут побудить их участвовать в определенных действиях в социальных сетях, которые запрещены или осуждаются. Это может включать в себя:

Хотя ваш ребенок не может получить доступ к информации напрямую через приложение Telegram, он может получить всю эту информацию от одного из своих друзей. Например, кто-то может послать порнографические изображения своим детям. Или информацию о том, где купить лекарства в окрестностях. Если вы не будете осторожны, вам будет сложно позаботиться о вашем ребенке позже.

Таким образом, становится очевидным, что все больше и больше детей начинают использовать эти приложения, и они всегда экспериментируют со своими объявлениями, которые приводят к неверным результатам. Это очень беспокоит родителей, которые отчаянно ищут способ решить проблему и прививают некоторую дисциплину своим детям, которые постоянно обмениваются текстовыми сообщениями, картинками, наклейками и видео, некоторые из которых могут иметь катастрофические долгосрочные результаты.,

Разработка и развитие соответствующих приложений для родительского контроля на рынке стала благословением для заинтересованных родителей, позволяя вам изучать и отслеживать контакты, тексты, секретные чаты и обмен файлами между вашими детьми в приложении Telegram и при необходимости предпринимать соответствующие действия.

Как шпионить сообщения Telegram на Android и iPhone

Шпионское приложение Telegram может помочь!

Самое популярное шпионское приложение Telegram на рынке, которое помогает следить за вашим ребенком, было разработано на основе основного принципа сбора данных, полученных и переданных с целевого устройства. Позже его можно просмотреть в панели управления, доступной через любой веб-браузер. Вы можете следить за всем – от телефонных звонков до их записи и даже импортировать все сообщения, чтобы отслеживать действия вашего ребенка.

Взять, к примеру, шпионское приложение FlexiSpy Telegram. Это одно из самых популярных шпионских приложений на сегодняшний день, и оно может делать все необходимое для хорошего шпионского приложения. Он доступен на платформах iOS и Android, и вы можете делать все, от просмотра журналов вызовов до одновременного чтения сообщений Telegram.

Как и большинство его аналогов, это программное обеспечение должно быть совместимо с устройством, которое необходимо отслеживать. Затем план подписки выбирается и устанавливается вместе с родителем с паролем для входа в их собственную панель управления. После установки на целевое устройство шпионское программное обеспечение Telegram, которое идеально подходит для Android и iPhone, не требует джейлбрейка и поможет вам:

Этот пример служит индикатором имеющегося в продаже лекарственного средства, которое не позволяет вашим детям связываться с неправильными людьми и становиться жертвой плохих вещей в жизни. Также появилось множество других приложений, каждое из которых обладает уникальными функциями, которые помогают родителям следить за деятельностью своих детей.

Шпионское программное обеспечение, такое как HighsterMobile, Mobilespyagent, Theonespy, Mobistealth, Teensafe, Spyera, ikeyMonitor, Phone spy и PhoneSheriff, и многие другие, было разработано с помощью современных систем GPS-слежения, которые помогают вам также отслеживать движения вашего ребенка, сохраняя при этом отслеживать все действия устройств Android или iOS вашего ребенка.

Источник

Раскрытие номера телефона и геолокации через уязвимость в Телеграме

Последнее время в Telegram все чаще обсуждаются темы пробива людей и утечек персональных данных. Мне стало интересно, а насколько сама экосистема Telegram устойчива к подобным утечкам.

Под катом история о том, как я нашел баг в Telegram. Баг позволяет ввести в заблуждение пользователя, и подтолкнуть его неосознанно поделиться своими данными — геолокацией и номером телефона.

Вот как это работает:

Сложность системы всегда была врагом безопасности.

Telegram вырос, уже перестал быть просто мессенджером, и дорос до большой медиа платформы с богатым функционалом. Отдельным особняком стоит Telegram Bot API, позволяющее выстраивать целые приложения внутри мессенджера — так называемых ботов.

Скорее всего каждый, кто пробовал создать своего бота, уже знает, что пользователю можно отправить запрос его номера телефона с помощью специальной кнопки.

Текст на этой кнопке можно задать любой. Причём такие же кнопки бот может использовать и для других взаимодействий:

После нажатия на кнопку, пользователю конечно же будет показано предупреждение что сейчас его контакт будет отправлен боту:

Это сообщение довольно однозначно говорит о риске деанонимизации, и предостерегает вдумчивого пользователя от опасных для него действий.

Перебирая обновления API, я вспомнил, что в какой-то момент Telegram дал пользователям возможность делать собственные локализации мессенджера. Были примеры, когда локализацию использовали для шуточных переделок интерфейса. В тот момент мне пришла в голову та же мысль, что и возможно вам сейчас:

А что, если попробовать “шуточно перевести” диалоговое окно, предупреждающее пользователя о передаче номера телефона боту, заменив его текст?

Вначале я думал, что заставить пользователя установить в приложение посторонний xml файл-локализацию будет намного сложнее, чем просто убедить кликнуть на Share contact. Ведь именно так, с помощью xml файла, Telegram предлагал распространять свои локализации среди собеседников.

Так я думал, пока не наткнулся в исходных кодах android приложения на обработчик ссылок setlanguage.

Оказалось, что в Telegram уже давно сделали платформу переводов, translations.telegram.org, доступную для всех пользователей Telegram, и теперь не нужно передавать никаких xml файлов.

Достаточно кликнуть по ссылке t.me/setlanguage/%lang%, после чего пользователь увидит диалоговое окно с запросом установки нового языка. И это окно значительно менее отпугивающее, чем сообщение о запросе номера телефона:

Как это работает?

Добавляем свой язык, переводим нужные нам элементы интерфейса и еще парочку других.

В локализации можно писать все что угодно. Мы напишем безобидный текст вместо ужасного предупреждения о расшаривании геолокации и номера телефона. Проделываем тоже самое для остальных платформ.

Наш ядовитый язык готов. Осталось подсунуть его пользователю.

Мне так и не удалось найти способ узнать установил ли пользователь предложенную ему локализацию. Не нашлось ни статистики языка на translations.telegram.org, ни изменений в профиле пользователя. Bot api позволяет узнать язык пользователя через параметр language_code, но его значение берется из системных настроек. Смена языка в приложении на параметр никак не влияет.

Что ж, тогда просто добавляем небольшую задержку после сообщения с ссылкой на язык. После выбора языка предлагаем пользователю ознакомиться с меню бота. При нажатии Ок в данном диалоговом окне, номер утекает к боту сообщением, а бот это сообщение тут же удаляет. Если бот будет использовать webhook для получения обновлений, то сообщение удаляется быстрее и пользователь возможно и не поймет что он только что отправил свой контакт.

Кстати, аналогично запросу контакта бот может попросить пользователя расшарить его геолокацию. Да, и это диалоговое окно тоже можно “перевести”.

Как исправить

Очевидно нельзя давать возможность пользователям переводить абсолютно весь интерфейс без модерации. Модерация переводов кстати включена для например вот этого диалогового окна translations.telegram.org/rutech/ios/unsorted/AuthCode.Alert. О необходимости модерации нам сообщает метка Critical.

Выходит что вот такое маленькое упущение как отсутствие метки Critical для диалогов о расшаривании номера и геолокации приводят к утечке. Утечке весьма чувствительных данных, как для мессенджера строящего свой маркетинг вокруг privacy/security.

Мессенджер привязаный к вашему личному номеру телефона по определению не может быть приватным. Он может лишь удорожить процесс раскрытия вашей личности.

Данная уязвимость попала в программу bug bounty телеграма и была оценена в 100€.

Заходите к нам в Telegram чат @secinfosec. Там мы делимся опытом и обсуждаем всё что касается информационной безопасности: баг баунти, пентесты, бумажную и практическую безопасность, новые угрозы и методы борьбы с ними.

Источник