电影 "惊喜地" 在电报上

伪装成视频的恶意 APK* 在 Telegram 上传播。 截至目前，该漏洞已被修复。

伪装成视频的 APK 文件 通过Messenger发送给用户。 Android 版 Telegram 中发现了一个零日漏洞 EvilVideo，该漏洞允许攻击者发送恶意 APK， 写 电脑发出嘟嘟声。

6 月 6 日，俄语 XSS 论坛上出现了用户 Ancryno 的一篇帖子，其中他 主动向其他人出售适用于 Telegram v10.14.4 及更早版本的零日漏洞。

7 月 4 日，Telegram 回应称他们正在调查该问题。 7月11日，10.14.5版本发布，该问题已得到解决。 也就是说，攻击者有大约 5 周的时间来利用新的 Messenger 漏洞，而 如果用户没有更新程序，这种可能性仍然存在。

该漏洞允许攻击者创建 APK 文件发送给 Messenger 中的用户。 国际防病毒软件开发商 ESET 认为，犯罪分子利用 Telegram API 创建看起来像 30 秒视频的消息。

使利用此类漏洞变得更容易的是 默认情况下，Android 应用程序会自动下载所有文件。 用户一打开消息，恶意 APK 就开始下载。 对于那些关闭了自动下载的人来说，他们所要做的就是点击一次视频，APK 也会开始下载。

当用户尝试播放视频时，Telegram 会提示他们使用内部播放器，提示他们“打开”视频，这也开始下载恶意软件。

但为了将恶意软件安装到用户的智能手机上，他们还需要在设备设置中启用未知程序的安装。 攻击者指出，该漏洞是一键执行的，但要成功感染智能手机，仍需要更多步骤。

Telegram 代表解释说，这不是 Messenger 的漏洞，因为用户需要打开视频并更改 Android 安全设置，然后才能安装可疑的 APK。

*APK，即Android Package Kit，是Android操作系统的一种包文件格式。

Source link