7月下旬，广州用户陈晨在手机浏览器里点开一条标注着“tg安装包最新版”的广告链接。页面做得和官网几乎一致吧？下载来的安装包约29MB，安装过程没有异常提示。

当天夜里，手机电量80%掉还有20%，锁屏界面反复弹出借贷广告了。安全实验室检测后确认。这个安装包被捆入了广告木马，功能是劫持浏览器和强制推送推广视频。陈晨不是个例。

在Telegram相关的贴吧和知乎话题下，隔几天就有人晒出类似经历吧？轻则闪退黑屏，重则账号被异地登录的。这类情况并见。从安全机构公开的数据看，今年二季度截获的tg安装包恶意样本数量环比上升了40%。与官方安装包相比了。第三方渠道的客户端一般经过二次打包，解包后能看到多出的classes.dex和资源文件，里面藏着读取通讯录、偷发短信的权限。Telegram官方在支持文档里反复强调了。只建议官网或应用商店下载。

可惜很多人习惯先搜“tg安装包”，搜索引擎前排的广告结果反而成了最危险的入口。

笔者这几天实测了几个用户常去的下载站吧？发现tg安装包的质量参差不齐。一个站点提供的“谷歌版”比官方版本大了近30MB，多出来的体积就是被塞进的跟踪组件。另一个站点主推的“中文汉化版”更离谱，安装后会后台连接固定IP。把聊天记录里面的链接上传到指定地址。普通用户很难从安装界面看出差别，因为应用图标、名称、版本号都伪装得一模一样了。判断真伪只能靠签名信息和校验值，在Telegram官网上找到对应版本的SHA-256哈希，再和自己手里的文件比对，不一样就果断删除了。一位长期维护Telegram使用社群的管理员告诉笔者，他们群里几乎每周都有人因tg安装包问题求助吧？

“最夸张的一次，有用户下载了带远控木马的版本，手机摄像头被偷偷打开。还拍下了卧室画面”这位管理员建议，安装前务必在Telegram官网上确认最新版本号，不要相信任何“加速版”“纯净版”了。安装完成后可以进入设置-关于里查看版本信息，和官方发布页逐项核对，要是已经出现异常耗电或后台流量飙高。第一时间断网并卸载，再用官方包覆盖安装。tg安装包乱象不是今天才出现，只是Telegram用户群体扩大后，黑产盯上了这块蛋糕。

实际案例看，受骗者多是在应用商店搜不到、被搜索引擎引导还有第三方站点的用户。与其出事后再杀毒。

还不如一开始就多花一分钟走官方通道的。老用户之间流传着一句话，能用官方就别碰镜像，能用HTTPS就别点广告的。安全软件能拦截部分风险包的，却拦不住用户主动把手伸进泥潭。