Android-шпион uCreator крадет 2FA-пароли Telegram и клонирует WeChat

uCreator крадет 2FA-пароли Telegram и клонирует WeChat

Android-шпион uCreator распространяется как набор для аренды. Он компрометирует аккаунты Telegram и WeChat, внедряя вредоносный код в рабочие копии приложений. Пользователи заражаются, устанавливая модифицированные приложения вне официальных магазинов или запуская WeChat внутри контейнерного приложения от создателей uCreator.

Вредоносный код внедряется в приложения через подмену

Уязвимая версия Telegram связана с бэкдором Baohuo, обнаруженным компанией Doctor Web в октябре 2025 года. Baohuo распространялся в модифицированных копиях Telegram X. Doctor Web оценивал число зараженных устройств более чем в 58 тысяч. Анализ показал совпадение пространства имен кода (com.ucreator.tgjar), сервера команд и управления (C2) и названий команд с данными из отчета Ovi. Модифицированные копии Telegram X использовали то же имя пакета, что и официальное приложение в Google Play. Baohuo распространялся с середины 2024 года через рекламу в приложениях, ведущую на поддельные сайты магазинов приложений. Сайты предлагали Telegram X как приложение для знакомств и видеочатов. Баннеры были доступны на португальском и индонезийском языках. Несмотря на это, Индия лидировала по числу заражений (22,8%), за ней следовали Бразилия (20,5%) и Индонезия (9,6%). Копии Baohuo также появлялись в сторонних магазинах приложений, таких как APKPure, ApkSum и AndroidP. На APKPure одно из приложений было размещено под именем официального разработчика, но с другой цифровой подписью. Для WeChat uCreator использует виртуализацию приложений, запуская неизмененное приложение внутри собственного контейнера. Команда копирует идентификатор входа в аккаунт, архивирует данные приложения и загружает их. Затем используется скрипт входа для клонирования аккаунта. Этот механизм нацелен на сам аккаунт, а не на историю переписки.

Мобильные кошельки и мессенджеры в Китае и Юго-Восточной Азии находятся под угрозой

Потенциальные цели включают пользователей мобильных кошельков и мессенджеров в Китае и Юго-Восточной Азии. Среди них WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash и MoMo. Исследователь Ovi обнаружил код для поддержки около 20 приложений, но опубликовал информацию только по Telegram и WeChat. Механизм перехвата кода (hooking engine) позволяет вредоносному коду перехватывать функции приложения. На Pixel 10 Pro с Android 17 он не смог найти внутреннюю функцию Android, на которую полагается, из-за изменений в новых версиях ОС. Инструмент Frida смог обойти эту защиту. Новейший образец от 29 июля 2026 года содержал старый движок. Исследователь получил образцы, собранные для Android 16, но не тестировал эту версию. Телефоны китайских производителей не тестировались. Внутри модифицированного приложения Telegram код запускается с той же идентичностью и разрешениями, что и само приложение. Это дает ему такой же доступ. Каждое модифицированное приложение запускает локальный сервер команд. Код для каждого целевого приложения загружается после установки, что затрудняет анализ установочного файла. Злоумышленники могут отправлять любые запросы к базе данных хранилища сообщений и получать историю чатов. Пароль двухэтапной аутентификации (2FA) Telegram перехватывается в читаемом виде до его хеширования. С помощью пароля код может сбрасывать активные сеансы, изменять связанный номер телефона или удалять аккаунт. Часть кода блокирует доступ владельца, сохраняя сеанс злоумышленника. Код также скрывает сеанс злоумышленника из списка устройств, отображаемого пользователю. Бэкдор Baohuo отправляет номер телефона, имя и пароль аккаунта на сервер каждые три минуты. Исследователи не уточнили, отображается ли скрытый сеанс в других, немодифицированных приложениях Telegram пользователя. Также не предоставлены шаги по восстановлению контроля над захваченным аккаунтом. Код демонстрирует возможности набора, но не факт полного использования всех этапов атаки. Ранее вредоносное ПО, такое как FjordPhantom и GodFather, также запускало легитимные приложения с вредоносным кодом внутри. uCreator отличается тем, что продается как продукт, позволяя клиентам удаленно нацеливать его на любое приложение, для которого созданы модули. Исследователи Ovi и Jurre обнаружили серверный код на самохостинговом GitLab. Этот код показывает облачную консоль, которую арендуют продавцы. Каждая команда содержит ID клиента, что позволяет каждому клиенту нацеливать свою долю телефонного парка на выбранных жертв. Команды поступают на телефоны в парке операций и на телефоны жертв. Там набор перехватывает авторизации входа, массово добавляет друзей, собирает данные контактов и профилей, а также создает резервные копии целых аккаунтов. Планировщик устанавливает временные окна, случайные дневные лимиты и бюджеты на аккаунт, чтобы активность выглядела естественно и проходила проверки безопасности платформ. Этот процесс называется "культивация аккаунта". В истории кода обнаружено около трех десятков разработчиков, работающих по китайскому времени. Утечка серверной части охватывает личные аккаунты WeChat и WeCom. По данным Ovi, она не затрагивала Telegram, и была раскрыта только одна из нескольких GitLab-серверов. Ovi связывает части операции с тремя компаниями в провинции Хунань, Китай. Одна связана с брендовым сайтом набора и сертификатом сервера, другая — с государственной заявкой на сервер команд, третья — с подписью на программе управления Windows. Предполагается наличие общего владельца, но это не доказано. Собственное название продукта — YingGai, а история продуктовой линейки начинается с сентября 2021 года. Образцы, изученные Ovi, датируются 2024-2026 годами. Ovi предполагает, что набор используется для финансово мотивированных преступлений из-за его нацеленности на кошельки и одноразовые пароли. Doctor Web описывает Baohuo как "инструмент для увеличения числа подписчиков в Telegram-каналах".

Сохраняйте актуальные версии приложений и используйте инструменты безопасности

Набор оставляет на телефоне два надежных следа: файл кода TgJarPine.dex в ресурсах некоторых модифицированных копий Telegram и оригинальную копию приложения, оставленную инструментом LSPatch в каталоге cache/lspatch/origin/*.apk. Поскольку второй след исходит от самого LSPatch, он может появляться и в приложениях, пропатченных этим инструментом по другим причинам. На 23 октября 2026 года несколько доменов серверов и загрузки набора больше не разрешались. Домен сервера загрузки версий все еще указывал на IP-адрес 121.37.194[.]194. Идентификаторы набора включают SHA-256 хэши для различных компонентов, таких как com.ucreator.tg, com.uckj.tgx, org.thunderdog.challegram, org.telegram.messenger.web, com.ucreator.va_vx, com.ucreator.va_yjb_client и uip.exe. Также указаны домены серверов hpncallback.gold5play[.]com, hpncallback.qianxunlbs[.]com, telegram-apk.uzyzx[.]com и hw.android.videoflow[.]cn, а также IP-адреса 159.138.237[.]10:32115 и 159.138.229[.]12:26379 для серверов Redis. Упоминается домен r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 для части WeChat и IP-адрес 43.225.141[.]209, используемый частью Telegram. Также указан URL kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ для загрузки хуков. Doctor Web опубликовал собственные индикаторы для Baohuo.