Полный текст
В российском Telegram началась активная рекламная кампания нового клиента — Telega. Пользователям обещали настоящие «золотые горы»: стабильную работу всех звонков и снятие многих ограничений. Однако бывший разработчик Telegram, Dmytro Tarasenko aka iTaysonLab, решил проверить, в чём подвох. Он взял APK-файл и просто открыл его в декомпиляторе.Расследование Tarasenko сразу дало плоды. В коде обнаружились интересные строки. Во-первых, PROXY_ADDRESS был жёстко прописан как dal.mvk.com. Во-вторых, нашёлся SDK-ключ от трекера MyTracker, который, как известно, принадлежит VK Group. А «стабильные звонки» работали через ту же самую инфраструктуру, что обслуживает «Одноклассники» и «VK Звонки».Tarasenko копнул глубже. Домен dal.mvk.com оказался непростым: его неймсерверы ведут прямо на VKONTAKTE.RU. Более того, в официальном Android-клиенте VK нашлись референсы на jira.mvk.com, а вся реклама Telega в Telegram велась через трекинг-домен trk.mail.ru. Связь становилась всё очевиднее.Но самое интересное ждало впереди. В клиенте нашёлся «чёрный список» для нежелательных Telegram-каналов, ботов и пользователей. При попытке открыть такой контент, Telega выдавала собственную заглушку: «Материалы недоступны... в связи с нарушениями правил платформы». Tarasenko подчёркивает: таких строчек в официальном клиенте Telegram нет. И да, этот «чёрный список» включается флагом с сервера, то есть его могут активировать в любой момент.Разработчик также заметил в Telega код для замены стандартных иконок на... VK-шные. И всё бы ничего, но этот код был взят подчистую (те же названия переменных, методов и параметров) из другого кастомного клиента — Catogram. «А забавный факт в том, что основной разработкой Catogram занимался... я», — заключает Tarasenko.Вишенкой на торте стали другие находки. При авторизации приложение сливает номер телефона на свой сервер. Кроме того, в Telega нашли возможность смотреть VK Видео и VK Клипы прямо в мессенджере, причём специальный JavaScript-скрипт заботливо убирает брендинг VK, чтобы пользователь не заметил подвоха.После того, как Tarasenko опубликовал свои находки, с ним связались представители Telega. В компании ответили, что не являются проектом VK, а лишь используют их решения на коммерческих условиях.