Der Sicherheitsforscher und Reverse-Engineer Eric Parker warf am 24. Mai auf X einen dringenden Alarm aus: Der Drittanbieter-Android-Appstore APKPure verteilt eine bösartig modifizierte Version von Telegram 12.6.5. Nach einer Reverse-Analyse stellte sich heraus, dass dieses APK neu signiert und verpackt wurde; in der Datei classes3.dex wurde außerdem das Spionage-Framework DataCollector (über 3000 Zeilen Code) eingefügt. In diesem Framework sind die Adresse des C2-Servers 38.190.225.166 sowie mehrere Datenübertragungs-Endpunkte wie /api/collect, /api/collect_batch und /api/image hardcodiert. Damit können sämtliche Chat-Verläufe (inklusive alter Nachrichten), das Adressbuch, das Fotoalbum, Dokumente, GPS-Standorte sowie Informationen zur SIM-Karte abgegriffen werden; alle Daten werden anschließend mittels AES-GCM verschlüsselt hochgeladen. Parallel entdeckten Entwickler, dass das offizielle Telegram-APK, welches über APKPure vertrieben wird, eine falsche Signatur aufweist; auch der Paketname von Telegram X enthält Unregelmäßigkeiten. Derzeit funktioniert lediglich der Download über die Webseite – doch die dort angebotene Version ist nicht die aktuellste.
APKPure wurde im Jahr 2014 gegründet und bietet zahlreiche Android-Apps sowie ältere Versionen, die im Google Play Store nicht zu finden sind; die Plattform verzeichnet eine riesige Nutzerbasis. Im Jahr 2023 erwarb die Live-Streaming-Plattform Huya für insgesamt 81 Millionen US-Dollar bar die vollständigen Anteile von APKPure von Tencent. Schon zuvor gab es Sicherheitsprobleme: 2021 deckte Kaspersky auf, dass der APKPure-Client ein SDK mit bösartigem Werbecode enthielt; im Oktober 2025 entdeckte Dr.Web, dass auf APKPure eine modifizierte Version von Telegram X mit dem Baohuo-Backdoor im Umlauf war. Sicherheitsforscher raten dazu, das Android-APK von Telegram ausschließlich von der offiziellen Website telegram.org oder über den Google Play Store herunterzuladen – jede Version aus Drittanbieter-Stores birgt unbekannte Risiken.