😂 Разраб Nekogram признался во встроенном бэкдоре и послал юзеров нахер. Наливайте себе чаю с попкорном 😬. Драма вокруг альтернативных клиентов ТГ пробила очередное дно... если кто юзал Nekogram ради анимешных иконок, кастомных папок и отсутствия рекламы, у меня для тебя плохие новости. Реверс-инженеры расковыряли скомпилированный апкашник Nekogram и обнаружили там прекрасное... в обфусцированном коде (в файле Extra.java) нашлась потрясающая функция logPhoneNumbers(). При каждом логине скрипт циклом пробегается по всем твоим подключенным аккаунтам (до 8 штук), выдергивает currentUser.id и currentUser.phone, пакует их в массив и скрытно отправляет инлайн-запрос боту nekonotificationbot. Всё происходит абсолютно прозрачно для юзера, никаких следов в истории чатов. Твой номер улетает куда-то и зачем-то. Реверсеры оперативно набросали PoC в виде модуля для LSPosed. Модуль тупо перехватывал обращения к боту внутри клиента и перенаправлял их на подконтрольный стенд. Результат в терминале (смотри первый скрин) говорит сам за себя... клиент исправно стучит на базу, отправляя ID и номер телефона при каждом входе в аккаунт. Далее происходит эпичный копиум от разрабов... когда им принесли декомпилированные исходники и и задали вопросы (Issue #336), они просто... закрыли обсуждение 😂. А затем в чатике случился примерный диалог: Правда ли это? Да, номера отправлялись боту. Некоторые просят объяснений, но какие вам нужны объяснения? Всё именно так, как выглядит. 🤷♂️ ...ни один номер нигде не был сохранен и никому не передавался, хотя людям в это трудно поверить. Охотно верим 🙂 Эта история как наглядное пособие того, почему опенсорс вообще ни хрена не гарантирует, если ты качаешь бинарник из стора. В репозитории Nekogram файл Extra.java был чистым шаблоном, а вот при сборке релиза руками разраба туда аккуратно подкидывался вредоносный код. Лучше конечно компилить исходники у себя на локалхосте и побайтово сверить хэш с тем приложением, что собрал разраб ⌨️... но сколько людей так делают 👎 Кстати, яблочникам тоже не стоит расслабляться... популярный iOS-форк Swiftgram занимается тем же самым, только через WebApp и скрытого бота, связывая все ваши твинки в единую базу. Типичный 🥸 Сисадмин