{"id":167268,"date":"2026-04-03T11:12:02","date_gmt":"2026-04-03T09:12:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika"},"modified":"2026-04-03T11:12:02","modified_gmt":"2026-04-03T09:12:03","slug":"neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","title":{"rendered":"Le client Telegram non officiel Nekogram a envoy\u00e9 des num\u00e9ros de t\u00e9l\u00e9phone au bot du d\u00e9veloppeur","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un code obfusqu\u00e9 a \u00e9t\u00e9 d\u00e9couvert dans le client Telegram non officiel Nekogram, envoyant secr\u00e8tement au bot «@nekonotificationbot» les num\u00e9ros de t\u00e9l\u00e9phone des utilisateurs qui se sont connect\u00e9s \u00e0 l\u2019application, en liaison avec l'identifiant utilisateur. La modification pour collecter les num\u00e9ros de t\u00e9l\u00e9phone n'est pr\u00e9sente que dans les packages APK finalis\u00e9s diffus\u00e9s via Google Play, GitHub et le canal Telegram du projet. Dans le code source sur GitHub et dans le package APK du r\u00e9pertoire F-Droid, la modification collectant les num\u00e9ros de t\u00e9l\u00e9phone est absente. <\/p>\n

La porte d\u00e9rob\u00e9e \u00e9tait pr\u00e9sente dans le fichier Extra.java. Il est suppos\u00e9 que l'envoi a commenc\u00e9 avec la version 11.2.3 de Nekogram, initialement uniquement pour les utilisateurs avec des num\u00e9ros chinois, puis pour tous. Le programme utilisait \u00e9galement des bots osint «@tgdb_search_bot» et «@usinfobot» pour identifier les utilisateurs par leur ID, mais les num\u00e9ros de t\u00e9l\u00e9phone n'\u00e9taient pas envoy\u00e9s. \"Le <\/p>\n

Des chercheurs ont d\u00e9velopp\u00e9 un hook Java et un bot permettant \u00e0 tout utilisateur de v\u00e9rifier l'envoi des num\u00e9ros de t\u00e9l\u00e9phone par son instance de l'application. \"Le <\/p>\n

Selon les chercheurs ayant identifi\u00e9 le probl\u00e8me, les auteurs du programme pouvaient utiliser les informations recueillies pour constituer une base de donn\u00e9es \u00e0 vendre ult\u00e9rieurement aux cr\u00e9ateurs de bots OSINT. L'obfuscation de la modification et l'utilisation de requ\u00eates en ligne pour envoyer des donn\u00e9es t\u00e9moignent d'une intention d\u00e9lib\u00e9r\u00e9e de cacher cette activit\u00e9. Apr\u00e8s la r\u00e9v\u00e9lation du probl\u00e8me dans le syst\u00e8me de suivi des erreurs du projet, l'auteur de Nekogram a admis l'envoi des num\u00e9ros de t\u00e9l\u00e9phone \u00e0 son bot, sans expliquer les raisons de cette activit\u00e9, mais a mentionn\u00e9 que les num\u00e9ros envoy\u00e9s n'\u00e9taient ni stock\u00e9s ni transmis \u00e0 quiconque. <\/p>\n

De plus, il convient de noter la d\u00e9couverte d'une vuln\u00e9rabilit\u00e9 dans l'application officielle Telegram. Le projet Zero Day Initiative (ZDI), offrant des r\u00e9compenses mon\u00e9taires pour des rapports sur des vuln\u00e9rabilit\u00e9s non corrig\u00e9es, a publi\u00e9 des informations pr\u00e9liminaires sur la vuln\u00e9rabilit\u00e9 ZDI-CAN-30207 dans Telegram, qui a re\u00e7u un niveau critique de gravit\u00e9 (9.8 sur 10) et a \u00e9t\u00e9 marqu\u00e9e comme une attaque \u00e0 distance ne n\u00e9cessitant aucune action de l'utilisateur. Les d\u00e9tails seront r\u00e9v\u00e9l\u00e9s le 24 juillet, permettant aux d\u00e9veloppeurs de Telegram de transmettre la correction aux utilisateurs. <\/p>\n

Des informations distinctes ont fait surface, selon lesquelles une vuln\u00e9rabilit\u00e9 se manifeste lors de l'ouverture de stickers anim\u00e9s sp\u00e9cialement con\u00e7us dans Telegram et peut permettre l'ex\u00e9cution de code par un attaquant sans aucune action de l'utilisateur. Apparemment, la vuln\u00e9rabilit\u00e9 est caus\u00e9e par une erreur dans le code de la biblioth\u00e8que rlottie, qui g\u00e8re l'aper\u00e7u. <\/p>\n

Les repr\u00e9sentants de Telegram ont d\u00e9clar\u00e9 qu'ils ne consid\u00e8rent pas le probl\u00e8me identifi\u00e9 comme une vuln\u00e9rabilit\u00e9 dangereuse, car tous les stickers t\u00e9l\u00e9charg\u00e9s sont pr\u00e9alablement v\u00e9rifi\u00e9s pour serveurs<\/a> Telegram et que cette v\u00e9rification aurait emp\u00each\u00e9 l'affichage d'un sticker malveillant aux utilisateurs. Apr\u00e8s la d\u00e9claration de Telegram, le niveau de danger de la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 abaiss\u00e9 de 9.8 \u00e0 7.0.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c Telegram-\u043a\u043b\u0438\u0435\u043d\u0442\u0435 Nekogram \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434, \u0441\u043a\u0440\u044b\u0442\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0431\u043e\u0442\u0443 «@nekonotificationbot» \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0432\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a \u0438\u043d\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u0441\u0431\u043e\u0440\u0430 \u043d\u043e\u043c\u0435\u0440\u043e\u0432 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0433\u043e\u0442\u043e\u0432\u044b\u0445 APK-\u043f\u0430\u043a\u0435\u0442\u0430\u0445, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u043c\u044b\u0445 \u0447\u0435\u0440\u0435\u0437 Google Play, GitHub \u0438 Telegram-\u043a\u0430\u043d\u0430\u043b \u043f\u0440\u043e\u0435\u043a\u0442\u0430. \u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0430 GitHub \u0438 \u0432 APK-\u043f\u0430\u043a\u0435\u043d\u0442\u0435 \u0438\u0437 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 F Droid \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0449\u0435\u0435 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u044b \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":167269,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-167268","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Le client Telegram non officiel Nekogram a envoy\u00e9 des num\u00e9ros de t\u00e9l\u00e9phone au bot du d\u00e9veloppeur | ProHoster","description":"Un code obfusqu\u00e9 a \u00e9t\u00e9 d\u00e9couvert dans le client Telegram non officiel Nekogram, qui envoie secr\u00e8tement au bot \"@nekonotificationbot\" les num\u00e9ros de t\u00e9l\u00e9phone des utilisateurs ayant ouvert l'application, en lien avec l'identifiant utilisateur.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 Telegram-\u043a\u043b\u0438\u0435\u043d\u0442 Nekogram \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u0431\u043e\u0442\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 | ProHoster","og:description":"\u0412 \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c Telegram-\u043a\u043b\u0438\u0435\u043d\u0442\u0435 Nekogram \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434, \u0441\u043a\u0440\u044b\u0442\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0431\u043e\u0442\u0443 "@nekonotificationbot" \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0432\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a \u0438\u043d\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-04-03T09:12:03+00:00","article:modified_time":"2026-04-03T09:12:03+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/167268","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=167268"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/167268\/revisions"}],"predecessor-version":[{"id":168103,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/167268\/revisions\/168103"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/167269"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=167268"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=167268"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=167268"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}