Telegram устранил уязвимость нулевого дня, позволявшую злоумышленникам отправлять вредоносные APK-файлы, замаскированные под видеоролики.
Эта уязвимость угрожала пользователям Android и использовалась для распространения вредоносного ПО. Специалисты по кибербезопасности из компании ESET обнаружили её и назвали «EvilVideo». Она позволяла маскировать вредоносные приложения под обыкновенные видеозаписи.
Вредоносные APK-файлы мимикрировали под видео, и при попытке их воспроизведения Telegram показывал ошибку и предлагал использовать внешний плеер. Это побуждало пользователя нажать «Открыть», что в итоге приводило к установке вредоносного приложения.
Проблема была выявлена в версиях Telegram до 10.14.4. Хакер под ником Ancryno выставил эксплойт на продажу на хакерском форуме XSS. Компания ESET подтвердила работоспособность уязвимости и сообщила о ней руководству Telegram 26 июня и 4 июля.
Telegram отреагировал 11 июля, выпустив версию 10.14.5, где данная уязвимость была исправлена. Несмотря на заявления хакеров о «однокликовости», фактический процесс атаки требовал нескольких действий со стороны жертвы, снижая вероятность успешного заражения, так как пользователь должен был подтвердить установку неизвестного приложения. Эксплойт не работал на Telegram Desktop, так как там вредоносный файл обрабатывался как MP4-видео, а не как APK-файл.
В обновленной версии 10.14.5 APK-файлы теперь корректно отображаются в предварительном просмотре, исключая возможность обмана пользователей.