Mastodon

The New Oil<a href="https://mastodon.thenewoil.org/tags/EvilLoader" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#EvilLoader</a>: Unpatched <a href="https://mastodon.thenewoil.org/tags/Telegram" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Telegram</a> for <a href="https://mastodon.thenewoil.org/tags/Android" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Android</a> Vulnerability Disclosed<a href="https://www.mobile-hacker.com/2025/03/05/evilloader-unpatched-telegram-for-android-vulnerability-disclosed/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://www.mobile-hacker.com/2025/03/05/evilloader-unpatched-telegram-for-android-vulnerability-disclosed/</a><a href="https://mastodon.thenewoil.org/tags/cybersecurity" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cybersecurity</a>

KR. Laboratories 🇺🇦В TELEGRAM ВИЯВИЛИ СТАРУ-НОВУ ВРАЗЛИВІСТЬ. ВИМИКАЙТЕ АВТОЗАВАНТАЖЕННЯ!<a href="https://vimeo.com/1062942805" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://vimeo.com/1062942805</a>Вразливість про яку йде мова, вперше була зафіксована ще у 2024-му році (CVE-2024-7014) й описана дослідниками ESET (<a href="https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android/</a>). Потім її начебто полагодили... І ось на днях дослідник 0x6rss (<a href="https://cti.monster/blog/2025/03/04/evilloader.html" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://cti.monster/blog/2025/03/04/evilloader.html</a>) заявив, що вона знову працює! Також з'явилася розгорнута стаття на порталі Mobile Hacker (<a href="https://www.mobile-hacker.com/2025/03/05/evilloader-unpatched-telegram-for-android-vulnerability-disclosed/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://www.mobile-hacker.com/2025/03/05/evilloader-unpatched-telegram-for-android-vulnerability-disclosed/</a>). Паралельно з цим, на форумі XSS.IS (<a href="https://xss.is/threads/130933/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://xss.is/threads/130933/</a>) відновили продаж експлойту "EvilLoader", який експлуатує цю діру. POC вже розмістили на GitHub і його потихеньку "розкручують": <a href="https://github.com/0x6rss/telegram-video-extension-manipulation-PoC" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://github.com/0x6rss/telegram-video-extension-manipulation-PoC</a>Я вирішив теж погратися з ним і записав відео з підтвердженням, що ця вразливість актуальна станом на 05.03.2025 в Telegram Android v11.7.4 (остання найсвіжіша версія). Отже, як цей баг працює і чим він небезпечний? 1. Хакер створює в Telegram через @BotFather бота, називає його якось по цікавому, наприклад "Free Telegram Premium", "OsintProbyvUA_bot" або "SBU_infobot" і запускає в оборот. Його завдання - підсунути вам свого бота. Зробити це він зможе під будь-яким соусом чи предлогом.2. Необізнана наївна жертва заходить в цей бот, тисне кнопку START і запускає його. Бот у відповідь відправляє фейковий відеофайл mp4, який насправді є шкідливим htm-файлом. У цьому і полягає вся вразливість - API Telegram дозволяє будь-кому зловживати довірою до нього і відправляти користувачам фальшивий файл у вигляді відео! 3. Далі жертва пробує натиснути на "відео", щоб переглянути його. І тут сам Telegram повідомляє жертві, що його неможливо переглянути у месенджері і треба відкрити сторонній додаток. Жертва натискає ОPEN і Android пропонує відеоплеєр чи браузер Chrome. Мене дивує, що зі сторони Telegram ані слова про те, що це насправді фальшивий файл, а не відео!4. Як тільки жертва відкриває та завантажує відео - в дію вступає реверс-шел або IP-логгер, або будь-яке інше шпигунське, шкідливе ПЗ. Зловмисник фактично з його допомогою зламує пристрій жертви і бере під контроль Android OS. Якщо у вас в Телеграмі увімкене "Автозавантаження медіа", тоді цей шкідливий файл сам автоматично скачується на ваш пристрій і далі розгортається та закріплюється в системі. Векторів і способів застосування цієї вразливості може бути безліч. В шкідливий файл .htm під виглядом відео можна запакувати що завгодно. Я наприклад побавився і зробив сторінку для скачування нібито безкоштовного APK-додатка Telegram Premium. Креативні фішери ж запросто згенерують вам ціле дзеркало "Google PlayStore" й користувач ніколи не відрізнить його від справжнього, просто візьме і скачає нібито "легітимну" аплікуху з реверс-шелом. Ось так зламуються мобільні пристрої. Ви часто дзвонили і питали, як зламати смартфон, як зламати Telegram. Все банально просто. Не шукайте тут чогось надвичайного.Як захиститися?1. Найперше, перейдіть в свій Telegram, оберіть "Settings" (Налаштування), відкрийте "Data and Storage" ("Дані і пам'ять") і в блоці "Automatic Media Download" ("Автозавантаження медіа") у всіх розділах ("Через мобільну мережу","Через Wi-Fi", "Через роумінг") вимкніть перемикач «Завантажувати автоматично». Тепер фото і відео будуть завантажуватися лише вашим натисканням по зображенню. 2. Не підвантажувати неперевірений контент. Не завантажувати будь-які підозрілі відео, стікери чи зображення в Telegram від незнайомих людей. І знайомих теж (вони можуть бути зламані). Я особисто знаю людину, яка дуже любила приймати різні картинки із сердечками, і в одному з них "сидів" інфо-стилер... 3. Оновити свій Android і Telegram до останньої версії. Хоча, це напевне мало чим допоможе. Ця вразливість присутня навіть в найсвіжішому Телеграм v11.7.4. І я думаю, Дуров не буде її виправляти, так як для нього це - "ФІЧА", а не БАГ. Він вже давно довів своє відношення до безпеки. 4. Подбати про захист мобільного пристрою. Встановити VPN/Firewall/Антивірус. Будь-який з цих додатків допоможе у даній ситуації. Основна мета - заблокувати будь-які спроби проникнення на пристрій і несанкціоновані з'єднання. VPN зашифрує і анонімізує ваш IP, а Файєрол або Антивірус заблокує їх.5. Вимкніть в налаштуваннях Android опцію встановлення додатків з ненадійних джерел.До речі, таким способом, тільки через картинку, проводили деанонімізацію користувачів Telegram, протестувальників в Білорусі. Так що це не жарти. І гіпотетично, цим зараз будуть активно зловживати.Середньостатистичні користувачі - ідеальні жертви для подібних атак. Дитина або людина похилого віку 100% попадуться на цей гачок. В Facebook вся стрічка українців заповнена повідомленнями "Мій Telegram зламали" (<a href="https://www.youtube.com/shorts/r-kpndAyuJQ" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://www.youtube.com/shorts/r-kpndAyuJQ</a>). Тому що, тут складно розгледіти підвох - Telegram не застерігає користувача, а навпаки заохочує відкрити сторонній додаток і вийти за межі комфорту. А сам файл автоматично скачується на носій й відкривається за адресою "content://org.telegram.messenger.provider/media/Android/data/org.telegram.messenger/files/Telegram/Telegram%20Video/fake.htm". Користувачу може здатися, що це легітимний домен Telegram, тож він нічого не запідозрить...Так що я вас попередив. Бережіть себе!P.S. Повністю готовий робочий скрипт з IP-логгером для деанонімізації через Telegram в нашому GitHub: <a href="https://github.com/krlabs/telegram_ethical_hacking/tree/main/CVE-2024-7014" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://github.com/krlabs/telegram_ethical_hacking/tree/main/CVE-2024-7014</a><a href="https://infosec.exchange/tags/telegram" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#telegram</a> <a href="https://infosec.exchange/tags/CVE_2024_7014" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#CVE_2024_7014</a> <a href="https://infosec.exchange/tags/durov" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#durov</a> <a href="https://infosec.exchange/tags/messenger" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#messenger</a> <a href="https://infosec.exchange/tags/pavel_durov" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#pavel_durov</a> <a href="https://infosec.exchange/tags/cybersecurity" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cybersecurity</a> <a href="https://infosec.exchange/tags/POC" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#POC</a> <a href="https://infosec.exchange/tags/security" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#security</a> <a href="https://infosec.exchange/tags/infosec" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#infosec</a> <a href="https://infosec.exchange/tags/%D0%BA%D1%96%D0%B1%D0%B5%D1%80%D0%B1%D0%B5%D0%B7%D0%BF%D0%B5%D0%BA%D0%B0" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#кібербезпека</a> <a href="https://infosec.exchange/tags/itnews" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#itnews</a> <a href="https://infosec.exchange/tags/evilloader" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#evilloader</a> <a href="https://infosec.exchange/tags/%D1%82%D0%B5%D0%BB%D0%B5%D0%B3%D1%80%D0%B0%D0%BC" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#телеграм</a> <a href="https://infosec.exchange/tags/vulnerabilities" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#vulnerabilities</a> <a href="https://infosec.exchange/tags/bugs" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#bugs</a> <a href="https://infosec.exchange/tags/tg" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#tg</a>

Recent searches

Search options

Administered by:

Server stats:

#evilloader