taoran
(taoran)
1
调查表明，应用中包含经过混淆的代码，能在用户不知情的情况下收集并上传所有登录账户的电话号码。
这种恶意行为存在于已发布的版本中，甚至包括 Google Play 上的版本。
恶意代码藏在 Extra.java 中。尽管公共 GitHub 仓库里展示的是该文件的“干净”示例版本，但公开发布的已编译二进制文件却包含数据外传的逻辑。经过混淆的代码会以内联请求的形式将数据发送给机器人 @nekonotificationbot，整个过程不会留下任何痕迹。同一文件中还实现了通过多个机器人进行账户验证的功能：这些数据可能被用于充实他们的数据库。”
此外，如果用户有多个账户，开发者还能获取这些账户之间的关联信息。
Nekogram 客户端的开发者——据推测是人方立业。
在客户端的早期版本中，去匿名化功能仅针对中国号码，但现在该功能已适用于所有用户。
开发者回应（省流：数据我收集了，怎么用的不告诉你，你能拿我咋滴，嘻嘻）：
If your question is, “Is it true?”, the answer is yes, numbers were sent to the bot.
Some people are asking for an “explanation,” but what kind of explanation do you need? It is exactly what it looks like; it is what it is. 
For those interested, here is the source code of Extra.java.
Fact: not a single number has been stored anywhere or shared with anyone, though people may find that hard to believe.
如果你的问题是“这是真的吗？”，那么答案是肯定的，数字确实被发送给了机器人。
有些人要求一个“解释”，但你需要什么样的解释呢？事情就是表面看起来的那样，就是事实如此。
对感兴趣的人来说，Extra.java的源代码在此。
事实：没有任何一个数字被存储在任何地方，也没有与任何人共享过，尽管人们可能觉得这难以置信。
2 个赞
tjsky
(去年夏天)
2
也许这是他的后路呢，未来进局子了，把数据上交了，这重大立功表现起码能减刑5~10年了吧，搞不好还能免于起诉。
2 个赞
tjsky
(去年夏天)
3
方先生（图中的猫耳逆变器）又不是没给大家说过是不，2022年就说过会上报手机号的 
说上报就上报（当然他自己说是开玩笑的，但是就他这共享单车都扫不开的信用……）
方先生的丰功伟绩：
- DDoS别人的网站，惨遭开盒
- 背刺朋友，发死亡威胁
- 利用 EdXposed Magisk 框架的每一条 PR 都会发布每夜版，故意提交了一个恶意 PR，删除用户的 data 分区。好心参与 EdXposed 每夜版测试的用户数据纷纷被清空（你可以理解为手机被格式化）
- 加入到另一个Magisk Xposed Patch 框架 LPosed 的开发，伙同LPosed 的开发者一起攻击 EdXposed 的开发者 惨遭二次开盒。
- 自行 Fork —个 EhViewer 分支进行维护（也就是白E）添加了一些SNI前置和 DoH对抗 DNS 污染的功能来吸引用户，甚至因为滥用了清华大学校内的 DNS over HTTPS，最后演变成了一起「清华大学 TUNA 协会控制了全国六百万网友的牛只」的爆笑事件
- 偷窃unigram的APP ID API key，被unigram和Telegram官方发现，并且硬刚TG官方，NekoGram自己的APP ID API key也惨遭收回。
- 滥用NekoGram内置的FCM消息推送功能，推送了一大堆负能量/辱骂消息。（连累了NekoGram的一个分支，也就是NekoGramX）
- NekoGram 获取用户手机号的代码，将用户信息上传给自己和社工库。
3 个赞
Rig
4
这本来就是用第三方客户端的风险，你不会知道内部加了什么料
坛友们推荐个好用的第三方TG客户端（android）吧，谢谢了~
Ayugram，也是开源的。用了快2年了感觉还可以，但是不确定存不存在Nekogram这种行为
1 个赞
XJW_XJW
(特能拉)
7
用了几年的nekogram 
完全不知道还有这事 
现在还有好用的第三方客户端吗，我之前是在这里看到的
第三方客户端 | TGwiki - Telegram知识库
2 个赞
纯纯的神经病罢了。 
说白了，某些圈子就是这种画风，所谓科学上网早期， 这种抽象表演甚至更多， 一方面可以用来伪装跑路，给自己名正言顺的找理由，言之凿凿自己被“迫害”云云，另一方面，有很多的瓜表明，这帮人对普通用户普普通通的架设服务，而事实上不会被管感到不乐意，所以到处搞事，爆破别人服务，举报带节奏什么的。
而且， 一直以来github也好，stackoverflow也好，经常就能刷新出比这纯度高的多的多傻逼，鉴定为邪教徒就完事了
用的是 forkgram，就图他在 F-Droid 里有，更新省事，而且由F-Droid编译应该不会闹出这种偷偷加料的事来。不过和官方客户端没用出什么区别，不清楚功能上有什么改进。
1 个赞
tjsky
(去年夏天)
13
PS：当然这里从上下文看，应该只是利用这个bot做的查别人水表的功能
1 个赞
tjsky
(去年夏天)
14
因为官方的两个安卓客户端，1个不好用，1个更新慢。
为了避免这种情况，相对安全的方式是看 Release Assets 是不是通过 GitHub Actions 生成的。
- Nekogram 的 Release 显示的是作者名 tehcneko released this 2 weeks ago
- 使用 GitHub Actions 生成的 Release （以我的仓库为例） 显示的是 github-actions released this 5 days ago
如果 Release 显示的是 github-actions，说明产物是自动化脚本生成的，如果显示的是作者名，说明产物是作者上传的。
1 个赞
Turrit，我用这个，说是对视频有加速，他家还有视频流功能，把几个群组集合起来像刷抖音那样刷视频
1 个赞
kanz
(米村拌饭)
19
很久不用第三方客户端了，只不过官方版的一些地方用起来还是硌手（时不时让我骂两句），例如频道内搜索，置顶频道数量限制 但是我都忍了。。
而且说实话，我几乎听都没听说过你们上面讨论的这些客户端（除了Telegram X和Forkgram） 
第一次感觉到老了（不过也许不掺和这种事才更好）
还好我不用这种神人的软件
当然我自己在用turrit，其实也不知道是不是安全的，因为它是一个公司开发的闭源产品。。。
