A phone number-stealing backdoor was found in Nekogram

The malicious code is concealed within Extra.java (notably, the public repo version of this file is clean). It operates by using obfuscated code to send data through an inline query to @nekonotificationbot, leaving almost zero footprint.

Additionally, if several accounts are connected within the app, the developer can easily see that they belong to the same person.


В Nekogram нашли бэкдор, который сливает номера телефонов

Бэкдор спрятан в файле Extra.java (причем в публичном репозитории проекта этот файл выглядит иначе). Схема работает так: обфусцированный код передает данные через inline-запрос боту @nekonotificationbot, практически не оставляя следов.

А если в приложении подключено сразу несколько аккаунтов, разработчик легко узнает, что все они связаны между собой.


The Google Play version also has this malicious code

Версия из Google Play тоже имеет этот вредоносный код


Sources:
1. Nekogram 12.5.2
2. Backdoor investigation post
3. Screenshot by @andreyduhen (Thanks 😏)