Telega: как «удобный клиент Telegram» превратили в MITM с цензурой и ИИ-надзирателем

TL;DR

• Telega не просто «клиент для Telegram», а прокси между вами и серверами Telegram.

• Трафик идёт через свои сервера в РФ, Perfect Forward Secrecy может быть отключена, секретных чатов по сути нет.

• Нашли панели Zeus (точечная цензура) и Cerberus (ИИ-фильтр переписок).

• Теоретически возможны: чтение чатов, скрытие и подмена контента, действия от вашего лица.

• Если ставили Telega: удалить, закрыть сессии в Telegram, включить 2FA и считать всё, что писали через неё, потенциально скомпрометированным.

Что вообще происходит

Telega заходила как «тот же Telegram, только без VPN и с фичами». По интерфейсу всё похоже: привычные чаты, каналы, сторис, нативная авторизация по коду из SMS. Для пользователя картинка простая: поставил, залогинился, всё работает, можно больше не мучиться с VPN.

Под капотом другая история. Клиент тянет настройки не у Telegram, а у своих серверов, подменяет точки подключения и отправляет ваш трафик не напрямую в дата-центры Telegram, а сначала на свои узлы в российской инфраструктуре. Там уже можно писать, фильтровать, анализировать и делать всё, что положено приличному прокси.

Как нас продали на «удобство без VPN»

Типичный сценарий выглядел так:

«Telegram всё чаще лагает, VPN то блокируют, то режут скорость. Вот Telega - тот же функционал, но без плясок. Российские сервера, нормальные звонки, допфичи. Ставь, не бойся».

Сработало сразу по нескольким причинам:

• люди устали от постоянной возни с обходами;

• слово «клиент Telegram» звучит безопасно, особенно для тех, кто не залезает в настройки;

• визуально всё выглядит как тот же Telegram, значит, мозг ^[1] перестаёт задавать вопросы.

В какой-то момент многие даже забыли, что сидят не в официальном приложении, а в обёртке, которую делает другая команда под другие задачи.

Схема работы: было и стало

Было (официальный клиент):

вы → дата-центры Telegram

Стало (Telega):

вы → сервера Telega/VK → дата-центры Telegram

Ключевой момент в том, что вот эта середина видит весь ваш трафик и может с ним делать что угодно: логировать, резать, модифицировать, прогонять через ИИ, принимать решения, что до вас довезти, а что оставить «за кадром».

Что получает Telega вместе с вашей сессией

Когда вы вводите код из Telegram в сторонний клиент, вы отдаёте ему сессию. В нормальной ситуации это просто другой интерфейс к тем же серверам. В случае Telega:

• трафик идёт через их инфраструктуру;

• криптозащита ослаблена за счёт вынесенного и управляемого флага PFS;

• добавлены свои цепочки фильтрации и аналитики.

Практические следствия:

• можно читать содержимое обычных чатов и групп (не секретных);

• можно не показывать вам часть каналов и сообщений, создавая свою повестку;

• можно менять содержимое сообщений до того, как вы их увидите;

• можно совершать действия от вашего имени через Telegram API.

Официальные клиенты тоже имеют доступ к вашим сообщениям на устройстве, но не управляют прокси между вами и Telegram.

PFS: маленький флажок с большим эффектом

Perfect Forward Secrecy в официальных клиентах Telegram включена жёстко и не обсуждается. Это значит:

• каждая сессия живёт на своих ключах;

• запись трафика без этих ключей мало полезна;

• доступ к ключам сейчас не превращается автоматически в доступ ко всей истории за годы.

В Telega PFS вынесли в конфиг, который приезжает с их серверов. Там этот режим можно выключить. Если его отключить и при этом писать трафик на прокси, получается аккуратный архив: сегодня логируем, завтра, при необходимости, расшифровываем.

То есть всё, что проходило через Telega, лучше считать перепиской, которая может быть прочитана задним числом, если кто-то заморочится.

Zeus: ручка «показать / спрятать»

Zeus - это панель модерации на стороне Telega. Она не управляет самим Telegram, она управляет тем, что увидит клиент.

Что можно делать через такую панель:

• скрывать конкретные каналы, сообщения, ботов для части пользователей;

• применять фильтры по ID, категориям, сегментам аудитории;

• показывать стандартные системные сообщения, будто это Telegram так решил.

В результате один и тот же канал существует, но:

• в официальном клиенте его спокойно читают;

• в Telega он может внезапно «исчезнуть» или стать недоступным именно для вас.

Это уже не классическая блокировка на уровне государства или площадки. Это персональная цензура, завязанная на выбор клиента.

Cerberus: ИИ, который смотрит в чаты

Cerberus дополняет Zeus автоматикой. Это ИИ-фильтр, который:

• получает текст сообщений или их представление;

• проверяет на «запрещёнку» и прочие интересующие темы;

• помечает пользователей/чаты/каналы для дальнейших действий.

При связке:

• Cerberus решает, что подозрительно;

• Zeus решает, что с этим делать в интерфейсе.

Для пользователя это проявляется как:

• сообщения и каналы перестают открываться;

• что-то «временно недоступно»;

• какие-то боты не запускаются или ломаются именно в этом клиенте.

Снаружи это всё выглядит как «Telegram снова чудит», а на деле решения принимаются на стороне Telega.

Где тут VK

Анализы сетевой активности и кода приводят к знакомым именам: домены, IP-диапазоны, SDK из экосистемы VK и «Одноклассников». Звонки и медиа тянутся через их инфраструктуру, трекинг и аналитика тоже оттуда.

Получается конструкция:

• Telegram как бренд для пользователя;

• Telega как контролируемый клиент;

• VK-инфраструктура как транспорт и аналитика;

• сверху - модераторские панели Zeus и Cerberus.

С точки зрения контроля это идеальный набор: и доступ к трафику, и управление картиной мира, и логи.

Как это выглядит для обычного пользователя

Если говорить без терминов:

• ваши чаты и подписки в Telega нельзя считать приватными;

• вы не видите весь Telegram, только ту его часть, которую пропустят через панели;

• история действий в приложении не обязательно совпадает с тем, что делали вы руками;

• прошло время - а старые переписки всё ещё могут лежать где-то в логах.

Самое неприятное здесь то, что визуально всё выглядит как привычный Telegram. Разницу видно только на уровне трассировки и бинарников, чем большинство просто не занимается.

Как это выглядит для бизнеса и ИБ

Для компаний набор рисков ещё шире:

• внутренние чаты и рабочие обсуждения могут утекать на чужие сервера;

• корпоративный канал может быть точечно «выключен» для части аудитории;

• скриншоты из чатов через Telega сложно считать надёжными доказательствами;

• руководители и ключевые сотрудники фактически ведут переговоры через третью сторону.

То есть одна неудачная установка стороннего клиента на телефон топ-менеджера может перечеркнуть половину политики ИБ.

Что делать, если Telega уже была

Нормальный рабочий чек-лист:

1. Удалить Telega со всех устройств. Не оставлять «про запас».

2. Зайти в официальном клиенте Telegram в список устройств и завершить все сессии, которые могли относиться к Telega или выглядят подозрительно.

3. Включить двухэтапную аутентификацию, обновить пароль, проверить контакты для восстановления.

4. Оценить, какие именно переписки велись через Telega, и считать их потенциально известными третьим лицам.

5. Для дальнейшей работы использовать официальные клиенты и нормально настроенный VPN, а не «удобный обход» через неизвестный прокси.