Telegram曝零日漏洞，允许发送伪装成视频的恶意APK
内容提要
ESET Research发现了一个名为“EvilVideo”的针对Android Telegram的零日漏洞广告。该漏洞影响Android Telegram 10.14.4及更早版本，允许攻击者发送恶意有效载荷。ESET已向Telegram报告该漏洞，并在7月11日更新了应用程序。漏洞利用需要用户执行一系列操作，但仍引起安全担忧。
延伸解读
漏洞利用的隐蔽性
EvilVideo漏洞将恶意APK伪装成30秒视频，利用Telegram的媒体预览功能，使恶意文件在聊天中看起来像普通视频。默认情况下，Telegram自动下载媒体文件，用户打开对话时就会自动下载恶意负载。即使禁用自动下载，用户仍可能手动点击下载按钮。这种伪装降低了用户的警惕性，增加了攻击成功的可能性。
攻击链与用户操作
要激活恶意负载，用户需执行一系列操作：尝试播放“视频”时会触发Telegram的错误提示，询问是否使用外部播放器打开。如果用户选择“打开”，还需允许Telegram安装未知来源的APK。虽然步骤较多，但错误提示是Telegram的合法警告，可能误导用户认为文件只是格式问题，从而继续操作。
修复与版本影响
该漏洞影响Android Telegram 10.14.4及更早版本。ESET于2024年6月26日报告后，Telegram在7月4日确认并调查，最终于7月11日发布10.14.5版本修复。用户应尽快更新至10.14.5或更高版本，以防范此漏洞。旧版本用户仍面临风险，尤其是从非官方渠道下载应用的用户。
Q&A
EvilVideo漏洞是如何影响Android Telegram的？
EvilVideo漏洞影响Android Telegram 10.14.4及更早版本，允许攻击者发送伪装成视频的恶意有效载荷。
用户如何可能被EvilVideo漏洞攻击？
用户在Telegram中接收伪装成视频的恶意文件后，需执行一系列操作才能激活恶意载荷，包括允许安装未知应用程序。
ESET是如何发现EvilVideo漏洞的？
ESET研究人员在地下论坛上发现了该漏洞的广告，并进行了测试以验证其存在。
Telegram对EvilVideo漏洞采取了什么措施？
Telegram在确认漏洞后，于7月11日发布了修复版本10.14.5，以解决该安全问题。
EvilVideo漏洞的利用需要用户执行哪些操作？
用户需要允许Telegram安装未知应用程序包，并可能需要手动下载恶意有效载荷。
EvilVideo漏洞的安全风险是什么？
该漏洞允许攻击者通过伪装的多媒体文件传播恶意软件，可能导致用户设备被感染。
