Nekogram 12.5.2 被曝存在后门，静默窃取用户手机号
安全研究人员发现第三方 Telegram 客户端 Nekogram 12.5.2（Google Play 版）内置后门代码，会在用户不知情的情况下收集所有已登录账号的手机号，并通过 Inline Query 外传至开发者控制的 Bot（@nekonotificationbot）。
后门代码位于 Extra.java（混淆后为 uo5），核心逻辑：遍历 8 个账号槽位 → 提取 UserID 与手机号 → 拼接密钥后以 Inline Query 发送。所有关键字符串均经自定义加密混淆。
该后门仅存在于编译发布的 APK 中，GitHub 公开源码中的对应文件为无害占位。经独立反编译对比验证，从源码自行编译的版本不含上述后门组件。
开发者回应称 Bot 仅用于"解析用户名"，但代码中明确提取了 phone 字段并使用无痕传输方式，与其说辞不符。
此外，Nekogram 客户端的创建者（据推测为中国籍）此前曾因实施 DDoS 攻击和不道德的网络行为（包括对熟人发出死亡威胁）而为人所知。
显然，在该客户端的早期版本中，去匿名化操作仅针对中国手机号码，这可能被用于政治监控。然而，该操作现在已应用于所有用户。
via. thebadinteger | 在花频道
安全研究人员发现第三方 Telegram 客户端 Nekogram 12.5.2（Google Play 版）内置后门代码，会在用户不知情的情况下收集所有已登录账号的手机号，并通过 Inline Query 外传至开发者控制的 Bot（@nekonotificationbot）。
后门代码位于 Extra.java（混淆后为 uo5），核心逻辑：遍历 8 个账号槽位 → 提取 UserID 与手机号 → 拼接密钥后以 Inline Query 发送。所有关键字符串均经自定义加密混淆。
该后门仅存在于编译发布的 APK 中，GitHub 公开源码中的对应文件为无害占位。经独立反编译对比验证，从源码自行编译的版本不含上述后门组件。
开发者回应称 Bot 仅用于"解析用户名"，但代码中明确提取了 phone 字段并使用无痕传输方式，与其说辞不符。
此外，Nekogram 客户端的创建者（据推测为中国籍）此前曾因实施 DDoS 攻击和不道德的网络行为（包括对熟人发出死亡威胁）而为人所知。
显然，在该客户端的早期版本中，去匿名化操作仅针对中国手机号码，这可能被用于政治监控。然而，该操作现在已应用于所有用户。
via. thebadinteger | 在花频道