EvilLoader: Ungepatchte Sicherheitslücke in Telegram für Android aufgedeckt.

Eine neu entdeckte Schwachstelle in Telegram für Android, genannt EvilLoader , wurde vom Malware- und CTI-Analysten 0x6rss identifiziert . Dieser Exploit ermöglicht es Angreifern, bösartige APKs als Videodateien zu tarnen, was möglicherweise zu unbefugten Malware-Installationen auf den Geräten der Benutzer führt. Die Schwachstelle wurde in seinem Blogbeitrag detailliert beschrieben und von einem Proof of Concept (PoC)-Code begleitet.

Dieser Exploit ist noch ungepatcht und funktioniert weiterhin auf der neuesten Version von Telegram für Android 11.7.4. Noch besorgniserregender ist, dass die Nutzlast in Untergrundforen zum Verkauf angeboten wird und damit für Cyberkriminelle weltweit zugänglich ist. Dies ähnelt dem WhatsApp-Trick, bei dem Android-Malware sich als PDF-Datei ausgeben und Benutzer dazu verleiten kann, diese zu installieren.

Telegram security@telegram.orgam wurde über diese Sicherheitslücke und den verfügbaren PoC informiert, aber angesichts der Dringlichkeit des Problems und der Tatsache, dass es weiterhin ausnutzbar ist und bereits seit fast zwei Monaten in Untergrundforen verkauft wird, habe ich beschlossen, diese Info zu veröffentlichen, um das Bewusstsein zu schärfen, bevor ein offizieller Fix herausgegeben wird.

Dies ist das zweite Mal, dass eine ähnliche Schwachstelle bei Telegram für Android entdeckt wurde. Die erste, genannt EvilVideo , wurde im Juli 2024 bekannt und als CVE-2024-7014 verfolgt . EvilVideo funktionierte auf die gleiche Weise wie EvilLoader und ermöglichte es Angreifern, Videodateien zu manipulieren, um bösartige APKs zu verbreiten. Es wurde auch aktiv in Untergrundforen verkauft.

Die EvilLoader-Sicherheitslücke verstehen.

EvilLoader manipuliert die Verarbeitung von Videodateien durch Telegram, sodass bösartige Apps automatisch heruntergeladen und ausgeführt werden können, getarnt als Medieninhalte. Wenn ein Benutzer versucht, eines dieser speziell gestalteten „Videos“ abzuspielen, fordert Telegram ihn auf, die Datei in einer externen Anwendung zu öffnen.

Wenn der Benutzer dies auswählt, scheint es, als könne das Video nicht richtig wiedergegeben werden.

Wenn der Benutzer zustimmt, wird die getarnte APK installiert, was möglicherweise das Gerät gefährdet. Dies wird erreicht, indem Telegram dazu gebracht wird, eine HTML-Datei als Videodatei zu behandeln. Ein wichtiger Teil des Angriffs besteht darin, eine HTML-Datei zu erstellen, die Telegram fälschlicherweise als gültige Videodatei interpretiert.

Böswillig erstelltes HTML kann einen Benutzer dazu verleiten, bösartige Apps herunterzuladen und zu installieren.

Das Hauptproblem besteht darin, dass eine HTML-Datei mit der Erweiterung MP4 erstellt und gespeichert wird, sodass Telegram sie aufgrund ihrer Erweiterung fälschlicherweise als Videodatei identifiziert. Beim Senden über Telegram wird sie als legitime Mediendatei behandelt und beim Öffnen wird der Benutzer aufgefordert, sie in einer externen Anwendung auszuführen, woraufhin Schadcode ausgeführt werden kann.

Bevor die bösartige Anwendung installiert wird, muss der Benutzer die Installation unbekannter Apps auf seinem Android-Gerät ausdrücklich zulassen. Beim Versuch, die getarnte Videodatei zu installieren, fordert Telegram den Benutzer auf, eine externe Anwendung zu installieren. Im Rahmen dieses Vorgangs muss der Benutzer die Berechtigung zur Installation von Apps aus unbekannten Quellen erteilen, eine Sicherheitseinstellung, die normalerweise standardmäßig deaktiviert ist, um unbefugte Installationen zu verhindern.

Indem Angreifer die Unfähigkeit von Telegram ausnutzen, Mediendateien korrekt zu validieren, können sie schädliche Payloads einbetten, die als harmlose Videodateien erscheinen. Der Exploit wird aktiv in Untergrundforen verkauft.

Seit 2025 steht die Payload für EvilLoader in einem Untergrundforum zu einem unbekannten Preis zum Verkauf. Cyberkriminelle bezeichnen sie als EvilLoader, statt unter ihrem ursprünglichen Namen EvilVideo. Die Verfügbarkeit dieses Exploits auf Untergrundmärkten gibt Anlass zur Sorge, dass er weit verbreitet missbraucht werden könnte, da Bedrohungsakteure ihn nun leicht erhalten und gegen ahnungslose Telegram-Benutzer einsetzen können.

Die Sicherheitslücke ist in der neuesten Telegram-Version für Android noch immer nicht gepatcht und somit sind alle Benutzer anfällig. Angreifer können diese Schwachstelle ausnutzen, um Spyware, Ransomware oder andere Malware zu verbreiten. Da Telegram ein hohes Maß an Vertrauen genießt, zögern Benutzer möglicherweise nicht, Dateien zu öffnen, die sie aus scheinbar legitimen Quellen erhalten haben.

So schützen Sie sich.

Bis Telegram dieses Problem behebt, sollten Benutzer die folgenden Vorsichts-maßnahmen treffen:

Telegram aktualisieren: Achten Sie auf Sicherheitsupdates von Telegram, solange ein Patch aussteht.

Automatischen Download deaktivieren:

Verhindern Sie in den Telegram-Einstellungen, dass Mediendateien automatisch heruntergeladen werden.

Vermeiden Sie nicht vertrauenswürdige Mediendateien:

Öffnen oder führen Sie keine Dateien aus unbekannten Quellen aus, insbesondere keine Videos, die externe Apps erfordern.

Verwenden Sie Sicherheitssoftware:

Installieren Sie bewährte mobile Sicherheitssoftware, die schädliche APKs erkennt.

Da der Exploit noch nicht behoben wurde und aktiv in Untergrundforen verkauft wird, müssen Telegram-Benutzer beim Umgang mit Mediendateien vorsichtig sein. Die Zugänglichkeit dieses Exploits für Cyberkriminelle macht ihn zu einem ernsthaften Risiko.