【安全资讯】Telegram零日漏洞允许发送伪装成视频的恶意Android APK文件

概要：

Telegram的Android版本中发现了一个名为'EvilVideo'的零日漏洞，允许攻击者将恶意的Android APK文件伪装成视频文件发送。该漏洞在Telegram v10.14.4及更早版本中存在，已被ESET研究人员发现并报告给Telegram。

主要内容：

EvilVideo漏洞首次由名为'Ancryno'的威胁行为者在2024年6月6日的俄罗斯XSS黑客论坛上出售。ESET研究人员在一个公共Telegram频道上看到漏洞的演示后，确认了该漏洞的存在，并将其命名为'EvilVideo'。ESET研究员Lukas Stefanko于6月26日和7月4日分别向Telegram报告了该漏洞，Telegram在7月11日发布的v10.14.5版本中修复了该漏洞。

该漏洞利用Telegram API创建特制的APK文件，这些文件在发送给其他用户时会显示为嵌入的视频。默认情况下，Telegram会自动下载媒体文件，因此用户在打开对话时会接收到恶意负载。即使用户禁用了自动下载，点击视频预览也会启动文件下载。当用户尝试播放伪装的视频时，Telegram会建议使用外部播放器，从而诱导用户点击“打开”按钮并执行恶意负载。

虽然威胁行为者声称该漏洞是“一键”攻击，但实际上需要多个步骤和特定设置才能成功执行恶意负载，这大大降低了攻击成功的风险。ESET测试发现，该漏洞在Telegram的Web客户端和桌面版中不起作用，因为负载被视为MP4视频文件。Telegram在v10.14.5版本中修复了该漏洞，现在APK文件在预览中会正确显示，用户不再会被伪装成视频的文件欺骗。

如果用户最近通过Telegram收到要求使用外部应用播放的视频文件，建议使用移动安全套件进行文件系统扫描，以定位并删除恶意负载。通常，Telegram视频文件存储在内部存储的'/storage/emulated/0/Telegram/Telegram Video/'或外部存储的'/storage/<SD Card ID>/Telegram/Telegram Video/'目录中。