{"id":167268,"date":"2026-04-03T11:12:02","date_gmt":"2026-04-03T09:12:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika"},"modified":"2026-04-03T11:12:02","modified_gmt":"2026-04-03T09:12:03","slug":"neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","title":{"rendered":"Nieoficjalny klient Telegramu Nekogram wysy\u0142a\u0142 numery telefon\u00f3w do bota dewelopera","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W nieoficjalnym kliencie Telegrama Nekogram zidentyfikowano zafa\u0142szowany kod, kt\u00f3ry w ukryty spos\u00f3b wysy\u0142a\u0142 do bota @nekonotificationbot numery telefon\u00f3w u\u017cytkownik\u00f3w, kt\u00f3rzy zalogowali si\u0119 do aplikacji, zwi\u0105zane z identyfikatorem u\u017cytkownika. Zmiana s\u0142u\u017c\u0105ca do zbierania numer\u00f3w telefon\u00f3w wyst\u0119puje tylko w gotowych pakietach APK rozprowadzanych przez Google Play, GitHub oraz kana\u0142 Telegrama projektu. W kodzie \u017ar\u00f3d\u0142owym na GitHubie oraz w pakiecie APK z katalogu F-Droid zmiana ta nie wyst\u0119puje. <\/p>\n

Tylny dost\u0119p znajdowa\u0142 si\u0119 w pliku Extra.java. Przypuszczalnie, wysy\u0142ka odbywa\u0142a si\u0119 od wersji Nekogram 11.2.3, pocz\u0105tkowo tylko dla u\u017cytkownik\u00f3w z chi\u0144skimi numerami, a potem dla wszystkich. W programie wykorzystywano r\u00f3wnie\u017c boty osint @tgdb_search_bot oraz @usinfobot do identyfikacji u\u017cytkownik\u00f3w na podstawie ich ID, jednak numery telefon\u00f3w nie by\u0142y do nich wysy\u0142ane. \"Nieoficjalny <\/p>\n

Badacze przygotowali hak w java oraz bota, kt\u00f3re umo\u017cliwiaj\u0105 ka\u017cdemu u\u017cytkownikowi sprawdzenie, czy numery telefon\u00f3w jego egzemplarza aplikacji s\u0105 wysy\u0142ane. \"Nieoficjalny <\/p>\n

Wed\u0142ug badaczy, kt\u00f3rzy zidentyfikowali problem, autorzy programu mogli wykorzysta\u0107 uzyskane informacje do stworzenia bazy danych do p\u00f3\u017aniejszej sprzeda\u017cy tw\u00f3rcom bot\u00f3w OSINT. O zamierzonym ukrywaniu takiej aktywno\u015bci \u015bwiadczy zafa\u0142szowanie zmiany oraz zastosowanie zapyta\u0144 inline do wysy\u0142ania danych. Po ujawnieniu problemu w systemie zg\u0142aszania b\u0142\u0119d\u00f3w projektu autor Nekogramu przyzna\u0142, \u017ce numery telefon\u00f3w by\u0142y wysy\u0142ane do jego bota, nie wyja\u015bniaj\u0105c przyczyn takiej aktywno\u015bci, ale wspomnia\u0142, \u017ce przesy\u0142ane numery nie by\u0142y przechowywane ani przekazywane nikomu. <\/p>\n

Dodatkowo mo\u017cna zauwa\u017cy\u0107 ujawnienie podatno\u015bci w oficjalnej aplikacji Telegram. Projekt Zero Day Initiative (ZDI), oferuj\u0105cy nagrody pieni\u0119\u017cne za zg\u0142aszanie niepoprawionych podatno\u015bci, opublikowa\u0142 wst\u0119pne dane dotycz\u0105ce podatno\u015bci ZDI-CAN-30207 w Telegramie, kt\u00f3rej nadano krytyczny poziom zagro\u017cenia (9.8 na 10) oraz oznaczenie ataku zdalnego, niewymagaj\u0105cego dzia\u0142ania ze strony u\u017cytkownika. Szczeg\u00f3\u0142y maj\u0105 zosta\u0107 ujawnione 24 lipca, daj\u0105c czas programistom Telegrama na wdro\u017cenie poprawek dla u\u017cytkownik\u00f3w. <\/p>\n

Pojawi\u0142y si\u0119 informacje, \u017ce luka bezpiecze\u0144stwa ujawnia si\u0119 podczas otwierania specjalnie przygotowanych animowanych naklejek w Telegramie i mo\u017ce prowadzi\u0107 do wykonania kodu przez z\u0142o\u015bliwego u\u017cytkownika bez jakiejkolwiek interakcji ze strony u\u017cytkownika. Z tego, co wiadomo, luka jest spowodowana b\u0142\u0119dem w kodzie biblioteki rlottie, kt\u00f3ra obs\u0142uguje podgl\u0105d. <\/p>\n

Przedstawiciele Telegramu poinformowali, \u017ce nie uwa\u017caj\u0105 wykryt\u0105 problem za niebezpieczn\u0105 luk\u0119, poniewa\u017c wszystkie przesy\u0142ane naklejki s\u0105 wcze\u015bniej weryfikowane na serwerach<\/a> Telegramie i taka weryfikacja nie pozwoli\u0142aby na wy\u015bwietlenie u\u017cytkownikom z\u0142o\u015bliwej naklejki. Po o\u015bwiadczeniu Telegramu poziom zagro\u017cenia luki zosta\u0142 obni\u017cony z 9.8 do 7.0.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c Telegram-\u043a\u043b\u0438\u0435\u043d\u0442\u0435 Nekogram \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434, \u0441\u043a\u0440\u044b\u0442\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0431\u043e\u0442\u0443 «@nekonotificationbot» \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0432\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a \u0438\u043d\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u0441\u0431\u043e\u0440\u0430 \u043d\u043e\u043c\u0435\u0440\u043e\u0432 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0433\u043e\u0442\u043e\u0432\u044b\u0445 APK-\u043f\u0430\u043a\u0435\u0442\u0430\u0445, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u043c\u044b\u0445 \u0447\u0435\u0440\u0435\u0437 Google Play, GitHub \u0438 Telegram-\u043a\u0430\u043d\u0430\u043b \u043f\u0440\u043e\u0435\u043a\u0442\u0430. \u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0430 GitHub \u0438 \u0432 APK-\u043f\u0430\u043a\u0435\u043d\u0442\u0435 \u0438\u0437 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 F Droid \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0449\u0435\u0435 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u044b \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":167269,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-167268","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Nieoficjalny klient Telegrama Nekogram wysy\u0142a\u0142 numery telefon\u00f3w do bota dewelopera | ProHoster","description":"W nieoficjalnym kliencie Telegram o nazwie Nekogram wykryto obfuskuj\u0105cy kod, kt\u00f3ry potajemnie wysy\u0142a do bota \"@nekonotificationbot\" numery telefon\u00f3w u\u017cytkownik\u00f3w, kt\u00f3rzy zalogowali si\u0119 do aplikacji, powi\u0105zane z identyfikatorem u\u017cytkownika.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 Telegram-\u043a\u043b\u0438\u0435\u043d\u0442 Nekogram \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u0431\u043e\u0442\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 | ProHoster","og:description":"\u0412 \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c Telegram-\u043a\u043b\u0438\u0435\u043d\u0442\u0435 Nekogram \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434, \u0441\u043a\u0440\u044b\u0442\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0431\u043e\u0442\u0443 "@nekonotificationbot" \u043d\u043e\u043c\u0435\u0440\u0430 \u0442\u0435\u043b\u0435\u0444\u043e\u043d\u043e\u0432 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0432\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a \u0438\u043d\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/neoficzialnyj-telegram-klient-nekogram-otpravlyal-nomera-telefonov-botu-razrabotchika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-04-03T09:12:03+00:00","article:modified_time":"2026-04-03T09:12:03+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/167268","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=167268"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/167268\/revisions"}],"predecessor-version":[{"id":168103,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/167268\/revisions\/168103"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/167269"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=167268"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=167268"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=167268"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}