Nekogram 被曝静默收集用户手机号

[miyuki]

原文 https://thebadinteger.github.io/nekogram-phone-exfiltration/

安全研究人员发现第三方 Telegram 客户端 Nekogram 12.5.2 （ Google Play 版）内置后门代码，会在用户不知情的情况下收集所有已登录账号的手机号，并通过 Inline Query 外传至开发者控制的 Bot （@nekonotificationbot ）。

后门代码位于 Extra.java （混淆后为 uo5 ），核心逻辑：遍历 8 个账号槽位 → 提取 UserID 与手机号 → 拼接密钥后以 Inline Query 发送。所有关键字符串均经自定义加密混淆。

该后门仅存在于编译发布的 APK 中，GitHub 公开源码中的对应文件为无害占位。经独立反编译对比验证，从源码自行编译的版本不含上述后门组件。

开发者回应称 Bot 仅用于"解析用户名"，但代码中明确提取了 phone 字段并使用无痕传输方式，与其说辞不符。

source https://t.me/c/1504594185/280820

[Kobayashi]

tehcneko(又名 Nekolnverter 、AliSummer 、猫耳逆变器、猫又逆变器等)

向 EdXposed 代码中提交 rm -rf https://www.v2ex.com/t/672547#r_8981454

[smqy2314]

作者是有前科的 不要碰它的东西

[zheke520]

turrit 这个第三方有没有这个漏洞？

[sicifus]

这作者真 tmd 有病吧，
不好意思没控制住爆粗口

[julyclyde]

@fang5566 neko 是最大的？
难道不是 nice 最大吗？

[tyzrj766]

TG 感觉没必要用什么第三方客户端，之前用了几个主要是就是中英翻译比官方的效果好和自定义几处外观，其他和官方几乎都一样，而且代码都是从官方上游继承来的，官方客户端有的 BUG ，第三方一样不落都会有。