俄罗斯缝隙生意公司 Operation Zero 已揭露宣告为 Telegram 零日缝隙供给高达 400 万美元的赏金，这表明俄罗斯政府对侵略这款盛行音讯应用程序的爱好日益稠密。

  该公司专门为俄罗斯政府和当地实体供给服务，正在寻求针对 Android、iOS 和 Windows 版别的 Telegram 的长途代码履行 (RCE) 缝隙。依据缝隙运用的杂乱程度，付出金额将有所增加。

  缝隙类型 最高赏金 一键 RCE 50万美元 零点击 RCE 150万美元 全链运用 400万美元

  “全链”类别是指在开始的 Telegram 进犯之后，颁发对设备操作系统拜访权限的多阶段缝隙。

  业界人士表明，这些价格或许低于商场行情报价，由于生意人通常以收买本钱的 2 至 3 倍将缝隙转售给政府。

  Android：2024 年 7 月的“ EvilVideo ”零日缝隙答应进犯者将歹意 APK 假装成视频，然后运用 Telegram 的主动下载功用。该缝隙已在 10.14.5 版别中得到修补，需求用户交互，但默许设置中存在危险。

  Windows：2024 年根据拼写过错的缝隙（过错符号“.pyzw”文件）导致 Python 脚本履行，后来经过将“.untrusted”附加到可疑文件来缓解。

  历史问题：曩昔的缺点包含 2017 年 Unicode 缝隙，该缝隙答应经过假装文件传达加密发掘歹意软件。

  安全有经历的人指出，Telegram 的加密落后于 Signal 和 WhatsApp。默许谈天缺少端到端维护并运用未经审阅的协议。

  这些缺点，加上其超越 10 亿的用户群（尤其是在俄罗斯和乌克兰），使其成为与国家相关的行为者的高价值方针。

  “零举动”的揭露赏格为俄罗斯缝隙收购优先事项供给了可贵的见地。此前，乌克兰于 2024 年制止政府设备运用 Telegram，理由是存在俄罗斯黑客侵略的危险。

  业界分析师猜想，这笔赏金反映了俄罗斯组织寻求监督或网络战才能的火急需求。

  尽管 Operation Zero 宣称只对俄罗斯客户敞开，但地下论坛显现了更广泛的缝隙买卖活动。相同的“EvilVideo”缝隙在 2024 年 6 月修补之前就在俄罗斯黑客论坛上发布过广告，这凸显了国家和违法缝隙商场之间的边界含糊。

  零日进犯生意人等零日进犯助长了价值 120 亿美元的全球监控职业，而 Telegram 的跨渠道主导地位使其成为长时间方针。咱们敦促用户禁用主动下载、手动启用加密并定时更新应用程序。