העותק של Telegram X נראה כמו האפליקציה האמיתית, נפתח כמוה, שולח הודעות כמוה. ההבדל היחיד הוא שבתוכו יושב קוד נוסף, ובשנייה שבה אתם מקלידים את סיסמת האימות הדו-שלבי הוא מעתיק אותה בדרך, לפני שהאפליקציה הופכת אותה למחרוזת מוצפנת שנשלחת לטלגרם. הקוד הזה לא הגיע מעצמו. הוא מוצר שמושכר לפי שימוש.

מה קרה

ב-21 באוקטובר פרסם חוקר בכינוי Ovi ניתוח של ערכה לאנדרואיד שהוא מכנה uCreator. הערכה לא תוקפת את טלגרם עצמה, אלא נדחפת לתוך עותק של האפליקציה שנבנה מחדש עם הקוד שלה בפנים, או מריצה את האפליקציה המקורית בתוך מעטפת של התוקפים. בשני המקרים הקוד רץ עם הזהות וההרשאות של האפליקציה, כלומר יש לו בדיוק אותה גישה לחשבון שיש לכם. לפי הניתוח הוא יכול לשלוף את היסטוריית ההודעות ממסד הנתונים המקומי של האפליקציה, להסתיר את החיבור של התוקף מרשימת המכשירים שהאפליקציה מציגה לכם, ועם הסיסמה ביד גם לנתק את כל החיבורים האחרים, להחליף את מספר הטלפון המקושר או למחוק את החשבון.

הרכיב של טלגרם לא חדש. The Hacker News השוותה את הדוח של Ovi לדוח של חברת האבטחה Doctor Web מאוקטובר 2025 ומצאה את אותו שם מזהה בתוך הקוד, אותו שרת שליטה ובקרה (C2, השרת שממנו התוקף שולח פקודות) ואותם שמות פקודות. Doctor Web קראה לדלת האחורית Baohuo, מצאה אותה בעותקים מזויפים של Telegram X והעריכה אז שיותר מ-58 אלף מכשירים נגועים, בכ-3,000 דגמים שונים. אף אחד משני הדוחות לא אומר מי הפעיל את הקמפיין ההוא: יוצרי הערכה עצמם, או אחד הלקוחות ששוכרים אותה.

למה זה חשוב לכם

נתיב ההידבקות הוא החלק שתלוי בכם, וכל העותקים הנגועים הגיעו מחוץ לחנויות הרשמיות. Doctor Web תיארה באנרים בתוך אפליקציות שהובילו לאתרי חנות מזויפים ושיווקו את Telegram X כאפליקציית היכרויות, ועותקים כאלה הופיעו גם בחנות צד שלישי APKPure, שבה אחד מהם היה רשום תחת שם המפתח הרשמי אבל עם חתימה דיגיטלית אחרת. חלק מהעותקים נושאים בדיוק את אותו שם חבילה כמו האפליקציה האמיתית בגוגל פליי, כך שהשם לבד לא מגלה כלום.

מפת ההדבקות של Doctor Web מ-2025 מובילה בהודו, בברזיל ובאינדונזיה, ולא דווח על נפגעים בישראל. מה שכן, רשימת האפליקציות שהערכה כתובה נגדן כוללת לפי Ovi גם וואטסאפ וגם ארנקים דיגיטליים, והוא עצמו מדגיש שהדוח שלו הוא ניתוח של יכולת טכנית ולא מדידה של נפגעים. הטכניקה היא מה שרלוונטי כאן: אפליקציה שהתקנתם מקובץ APK שהגיע מקישור היא אפליקציה שאף אחד לא בדק.

מה עושים?

התקינו טלגרם, וואטסאפ וכל אפליקציית הודעות אחרת רק מגוגל פליי או מחנות האפליקציות של אפל. אם התקנתם בעבר קובץ APK מקישור או מחנות צד שלישי, הסירו אותו והתקינו מחדש מהחנות.

בדקו את החיבורים הפעילים בחשבון: בטלגרם דרך הגדרות ואז מכשירים, ובוואטסאפ דרך מכשירים מקושרים. נתקו כל חיבור שאתם לא מזהים.

אם האפליקציה עצמה חשודה בעיניכם, עשו את הבדיקה ממכשיר אחר. שני הדוחות מתארים הסתרה של חיבור התוקף מהרשימה שהאפליקציה הנגועה מציגה, ואף אחד מהם לא אומר אם ההסתרה עובדת גם באפליקציות הנקיות שלכם.

החליפו את סיסמת האימות הדו-שלבי ממכשיר נקי, לא מזה שחשדתם בו.

בין שהערכה הגיעה לישראל ובין שלא, הלקח שלה תקף בכל מקום: מי שמתקין אפליקציה מחוץ לחנות לא מתקין את האפליקציה, אלא את מה שמישהו הכין בשמה.