黑客偽造盜版Telegram，并購買了607個(gè)高仿域名

安全 2025-07-18 13:23

聲明：該文章來自（黎多魚）版權(quán)由原作者所有，K2OS渲染引擎提供網(wǎng)頁加速服務(wù)。

近期，一波針對安卓用戶的惡意活動(dòng)浮出水面——607個(gè)仿冒Telegram的惡意域名，正通過高仿頁面?zhèn)鞑阂鈶?yīng)用。BforeAI旗下PreCrime Labs的研究，揭開了這場攻擊的技術(shù)細(xì)節(jié)與傳播路徑。

仿冒應(yīng)用：表面“合規(guī)”，暗藏惡意

攻擊者通過鏈接或二維碼，誘導(dǎo)用戶下載兩款大小為60MB/70MB的APK。這些應(yīng)用表面與正版Telegram無異，實(shí)則會(huì)悄悄獲取超額權(quán)限，并支持遠(yuǎn)程命令執(zhí)行。

技術(shù)上，惡意APK采用舊版v1簽名方案，如利用Janus漏洞（CVE-2017-13156）——該漏洞影響安卓5.0至8.0版本，可讓攻擊者在不改變簽名的情況下植入惡意代碼，輕松繞過檢測。

釣魚網(wǎng)站常偽裝成個(gè)人博客或非官方粉絲頁，典型如zifeiji.asia：復(fù)用Telegram圖標(biāo)、配色與下載按鈕，頁面標(biāo)題塞滿“紙飛機(jī)官網(wǎng)下載”等中文SEO關(guān)鍵詞，既提升搜索排名，又掩蓋惡意意圖。

惡意APK不僅依賴HTTP、FTP明文協(xié)議傳輸數(shù)據(jù)，還能訪問外部存儲(chǔ)、接收遠(yuǎn)程命令；基礎(chǔ)設(shè)施中嵌入ajs.js（托管于telegramt.net）等跟蹤腳本，收集設(shè)備信息以提升安裝率。

607個(gè)惡意域名的頂級(jí)域分布清晰：

.com:?316?（占比超50%，強(qiáng)化可信度） .top:?87?? .xyz:?59?? .online:?31?? .site:?24

這些域名多含teleqram“telegramdl”等仿冒關(guān)鍵詞，通過Gname注冊，托管于中國地區(qū)。

研究發(fā)現(xiàn)，惡意APK關(guān)聯(lián)已停用的Firebase數(shù)據(jù)庫tmessages2.firebaseio.com。若新攻擊者注冊同名項(xiàng)目，舊版惡意軟件可自動(dòng)連接新數(shù)據(jù)庫，讓攻擊持續(xù)生效。

MITRE攻擊技術(shù)	說明
T1456（釣魚）	仿冒Telegram頁面+中文SEO關(guān)鍵詞，誘導(dǎo)下載惡意APK，屬“仿冒應(yīng)用下載誘導(dǎo)”。
T1071.001（應(yīng)用層協(xié)議：HTTP/FTP）	惡意APK用HTTP/FTP明文傳輸數(shù)據(jù)，匹配“應(yīng)用層協(xié)議傳惡意數(shù)據(jù)”特征。
T1068（權(quán)限提升）	超額獲取權(quán)限擴(kuò)大控制范圍，屬惡意軟件權(quán)限提升技術(shù)。
T1210（遠(yuǎn)程命令執(zhí)行）	支持遠(yuǎn)程指令操控設(shè)備，符合“遠(yuǎn)程控制受妥協(xié)設(shè)備”特征。
T1583.001（惡意域名注冊）	注冊607個(gè)仿冒域名（如teleqram）托管釣魚頁，屬“相似域名支撐攻擊”。
T1027.001（混淆文件：簽名欺騙）	借Janus漏洞實(shí)現(xiàn)簽名不變植入惡意代碼，逃避檢測。