EvilVideo: l’app Telegram per Android bersaglio di un exploit zero-day che invia video dannosi

ESET ha individuato un exploit zero-day, mirato all'app Telegram per Android, apparso in vendita a un prezzo non specificato su un forum underground del giugno 2024. Utilizzando l'exploit che ESET ha denominato “EvilVideo”, gli aggressori potrebbero condividere payload Android dannosi tramite canali, gruppi e chat di Telegram, facendoli apparire come file multimediali.

L'analisi dell'exploit condotta da ESET Research ha rivelato che il codice opera sulle versioni di Telegram 10.14.4 e precedenti. Questo exploit sembra sfruttare l'API di Telegram, che permette agli sviluppatori di caricare file multimediali specificamente realizzati nelle chat o nei canali. L'exploit sfrutta la capacità di mostrare un payload Android come anteprima multimediale, anziché come allegato binario. Quando viene condiviso in chat, il payload dannoso appare come un video di 30 secondi.

Per impostazione predefinita, Telegram scarica automaticamente i file multimediali ricevuti. Gli utenti con questa opzione abilitata scaricheranno automaticamente il payload dannoso una volta aperta la conversazione in cui è stato condiviso. L'opzione di download automatico può essere disattivata manualmente: in tal caso, il payload può ancora essere scaricato toccando il pulsante di download del video condiviso.

Quando l'utente tenta di riprodurre il “video”, Telegram mostra un messaggio di errore che indica l'impossibilità di riprodurre il video e suggerisce di utilizzare un lettore esterno. Tuttavia, se l'utente tocca il pulsante Apri nel messaggio visualizzato, verrà invitato a installare un'app dannosa camuffata da app esterna.

Dopo aver scoperto la vulnerabilità di EvilVideo il 26 giugno 2024, ESET ha seguito la policy di divulgazione coordinata e l'ha segnalata a Telegram, ma inizialmente non ha ricevuto risposta. ESET ha inoltrato nuovamente la segnalazione il 4 luglio e, questa volta, Telegram ha confermato che erano in corso indagini interne su EvilVideo. Il problema è poi stato risolto con la distribuzione della versione 10.14.5, rilasciata l'11 luglio. La vulnerabilità riguarda tutte le versioni di Telegram per Android fino alla 10.14.4, ma è stata corretta a partire dalla versione 10.14.5.