黑客利用恶意软件将 Telegram 通讯工具武器化以获取系统控制权

据报告，恶意软件通过伪装成合法约会和通讯平台的欺骗性应用内广告和第三方应用商店传播到设备中。这一威胁标志着移动恶意软件分发的大幅升级，已在 58,000 台受感染设备上蔓延。

此外，它还蔓延到了 3,000 多部智能手机、平板电脑、电视盒子以及一些基于 Android 的车载系统中。

黑客利用恶意软件将 Telegram 武器化以获取访问权限

报告声称后门分发始于 2024 年，黑客主要使用葡萄牙语和印尼语模板针对巴西和印尼用户。受害者会在移动应用中看到广告，这些广告会将他们重定向到包含虚假评论和宣传免费视频聊天及约会机会横幅的虚假应用目录。这些虚假网站提供与合法应用外观相同的恶意软件应用。

除了恶意网站外，后门还渗透到了包括 APKPure、ApkSum 和 AndroidP 在内的知名第三方存储库中，尽管其数字签名不同，但它被欺骗性地以官方通讯工具开发者的名义发布。

分析师确定该恶意软件具有窃取机密信息的卓越能力，包括登录凭证、密码和完整的聊天记录。后门还通过隐藏第三方设备连接来隐藏被入侵账户的指示器，使其不出现在活跃的 Telegram 会话列表中。

此外，它能够在未经受害者批准的情况下将其从频道和聊天中移除或添加，完全掩盖这些操作，并将被入侵的账户转化为人为增加 Telegram 频道订阅者的工具。

使其区别于传统 Android 威胁的是它使用 Redis 数据库进行命令和控制操作。早期版本的恶意软件依赖传统的 C2 服务器，但开发人员已集成了基于 Redis 的命令。

恶意软件在不被察觉的情况下操纵功能

报告声称，后门使用多种技术来操纵通讯工具功能而不被发现。对于不会干扰核心应用功能的操作，黑客使用已准备好的通讯工具方法镜像，这些是负责 Android 程序架构中特定任务的独立代码块。

该镜像允许应用显示钓鱼消息，其窗口完美复制了原始的Telegram X界面。

对于需要更深层次集成的其他操作，恶意软件使用 Xposed 框架来修改应用方法，从而实现隐藏特定聊天、隐藏授权设备以及拦截剪贴板内容等功能。后门恶意软件使用 Redis 频道和 C2 服务器接收广泛命令，包括在用户最小化或恢复通讯工具窗口时上传短信、联系人和剪贴板内容。

黑客利用剪贴板监控来窃取数据，例如加密货币钱包密码、助记词或无意中泄露的机密商业通信。后门收集设备信息、已安装应用程序数据、消息历史和身份验证令牌，并每三分钟向黑客传输这些信息，同时保持正常 Telegram 通讯工具操作的外观。