Шпионскиот софтвер за Android uCreator може да ги украде лозинките за двофакторска автентикација на Telegram и да клонира WeChat сметки

Комплетот за шпионирање на Android-уреди наречен uCreator, кој се изнајмува на заинтересирани лица, презема контрола врз сметките на Telegram и WeChat така што го крие својот код во функционални копии на двете апликации, откри истражувачот Ovi. Тој ги погодува само лицата што инсталираат една од овие изменети копии, кои се шират надвор од официјалните продавници за апликации, или оние што ја користат апликацијата WeChat во рамките на сопствената контејнерска апликација на креаторите на алатката.

Компонентата на алатката наменета за Telegram се совпаѓа со Baohuo, задна врата (backdoor) за која Doctor Web извести во октомври 2025 година. Doctor Web го откри Baohuo во изменети копии на Telegram X, Android-апликација од Telegram. Во тоа време, компанијата процени дека биле заразени повеќе од 58.000 уреди.

The Hacker News ги спореди двата извештаи. Техничкиот опис на Baohuo од Doctor Web ги наведува истиот простор на имиња во кодот (com.ucreator.tgjar), истиот командно-контролен сервер (C2) и имињата на командите што се совпаѓаат со оние во анализата на Ovi.

Анализата на Ovi, објавена на 21 октомври 2026 година, не ги споменува наодите на Doctor Web, а Doctor Web не го именувал комплетот. Не е јасно дали креаторите на алатката или некој од нивните клиенти ја спровеле кампањата што ја следел Doctor Web.

Кој е изложен на ризик?

Изменетите апликации се шират преку sideloading — процес при кој корисникот инсталира датотека со апликација директно, наместо преку продавница за апликации — како и преку социјален инженеринг, открил Ovi. Тој не можел да потврди на кој начин бил заразен секој од засегнатите корисници.

Втор начин на заразување е сопствената контејнерска апликација на креаторите на алатката, наречена 洋葱盒子 („Кутија со кромид“), која овозможува други апликации да работат во нејзините рамки.

Некои од изменетите копии на Telegram X го користат истото име на пакетот како и вистинската апликација на Google Play, па само според името не може да се препознае дека станува збор за лажна апликација.

Doctor Web открил дека копиите на Baohuo се шират од средината на 2024 година преку реклами во апликации што воделе до лажни веб-страници за преземање апликации. Овие страници го рекламирале Telegram X како апликација за запознавање и видеоразговори.

Банерите на овие веб-страници биле достапни само на португалски јазик, за корисниците во Бразил, и на индонезиски јазик. И покрај тоа, според мапата на Doctor Web од 2025 година, која ги прикажува заразените уреди по земји, Индија била на прво место со 22,8%, пред Бразил со 20,5% и Индонезија со 9,6%.

Копии на Baohuo биле пронајдени и во продавниците за апликации од трети страни APKPure, ApkSum и AndroidP. На APKPure, една од нив била наведена под името на официјалниот развивач, иако нејзиниот дигитален потпис бил различен.

Ovi добил пристап до еден од командните сервери на алатката. На серверот имало податоци за жртви за кои се претпоставува дека се наоѓаат во Кина и САД, но тие не биле доволни за да се утврди веродостоен број на жртви. Тој го опишува својот извештај како „анализа на техничките можности, а не мерење на влијанието врз жртвите“.

Целните групи, кои сè уште не се потврдени, се корисници на мобилни паричници и апликации за размена на пораки во Кина и Југоисточна Азија. Меѓу нив се WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash и MoMo.

Истражувачот пронашол код што поддржува приближно 20 апликации, но досега објавил анализа на кодот само за Telegram и WeChat.

Механизмот за пресретнување на функции (hooking engine) во алатката е делот што му овозможува на нејзиниот код да ги пресретнува функциите на апликацијата. Ovi го тестирал на уред Pixel 10 Pro со Android 17. Не успеал да пронајде една внатрешна функција на Android од која зависи механизмот, бидејќи поновите верзии на Android ја измениле таа функција.

Сепак, друга алатка, Frida, можела да ги пресретнува функциите на апликациите на истиот начин на тој телефон. Затоа, Ovi заклучува дека ова создава дополнителна работа за креаторите на алатката, но не претставува доказ дека Android 17 го блокира нападот.

Најновиот примерок, датиран на 29 јули 2026 година, сè уште го содржел стариот механизам. Истражувачот пронашол примероци создадени за Android 16, но не пријавил дека ја тестирал таа верзија. Тој не тестирал ниту телефони од кинески производители.

Како ја презема контролата врз сметката на Telegram

Во изменета апликација Telegram, кодот на алатката се активира заедно со апликацијата и работи со нејзиниот сопствен идентитет и дозволи, открил Ovi. Тоа му овозможува ист пристап како оној што го има најавената апликација.

Секоја изменета апликација има и локален команден сервер што работи во нејзините рамки. Кодот за секоја целна апликација се презема по инсталацијата, што ја отежнува анализата на самата инсталациска датотека.

Напаѓачите можат да испратат произволни барања до базата на податоци во која се чуваат пораките на апликацијата и да ја добијат историјата на разговорите.

Лозинката за двостепена верификација (2FA) на Telegram се внесува во апликацијата, која ја користи за да генерира доказ за најавување на телефонот. Алатката го пресретнува овој процес и ја копира лозинката во читлива форма пред апликацијата да ја претвори во хеш-вредност.

Со оваа лозинка, кодот може да ги ресетира активните сесии на сметката, да го промени поврзаниот телефонски број или да ја избрише сметката. Други делови од кодот се дизајнирани да му го оневозможат пристапот на сопственикот, а истовремено да ја задржат активна сесијата на напаѓачот.

Кодот може и да ја сокрие сесијата на напаѓачот од списокот на уреди што изменетата апликација му го прикажува на корисникот.

Описот на Baohuo од Doctor Web го опфаќа истото сокривање на уреди. Задната врата, исто така, ги испраќа телефонскиот број, името и лозинката на сметката до својот сервер на секои три минути.

Ниту Ovi ниту Doctor Web не наведуваат дали скриената сесија сè уште се појавува во другите, неизменети апликации Telegram на корисникот. Ниту еден од нив не дава инструкции за обезбедување сметка што е преземена на овој начин.

Ovi нагласува дека кодот ги покажува можностите на алатката, а не дека напаѓачите ги искористиле сите чекори од почеток до крај.

И претходно, малициозен софтвер за Android користел легитимни апликации во кои бил вметнат код на напаѓачите. Во 2023 година, FjordPhantom го правел тоа со банкарски апликации преку виртуелизација, а истото го правел и банкарскиот тројанец GodFather во 2025 година.

Ovi смета дека оваа алатка се разликува затоа што се продава како производ. Клиентите можат далечински да управуваат со неа и да ја насочуваат кон која било апликација за која нејзините креатори ќе напишат соодветен модул.

Компонентата за WeChat и протечениот заден систем

За WeChat, алатката може да користи и виртуелизација на апликации, при што оригиналната, неизменета апликација работи во сопствениот контејнер на алатката, открил Ovi. Една команда ја копира идентификацијата за најавување на сметката. Потоа, податоците на апликацијата се компресираат во ZIP-датотека и се испраќаат на сервер, а вградена скрипта за најавување се користи за клонирање на сметката.

Овој дел од алатката ја напаѓа самата сметка, а не нејзината историја на разговори.

Ovi и друг истражувач, Jurre, го пронашле и кодот на задниот систем (back-end) на алатката на самостојно хостиран GitLab-сервер. Тоа бил единствениот дел од инфраструктурата што не бил ограничен само на одобрени IP-адреси.

Кодот открива постоење на облачна конзола што ја изнајмуваат трговци и препродавачи. Секоја команда го содржи идентификаторот на клиентот, па секој клиент може да го насочува својот дел од мрежата на телефони кон жртвите што самиот ќе ги избере.

Командите се испраќаат до телефоните во таканаречената телефонска фарма на алатката — група телефони контролирани од операторите — како и до телефоните на жртвите. На тие уреди, алатката ги пресретнува овластувањата за најавување, масовно додава пријатели, собира податоци за контактите и профилите и прави резервни копии од цели сметки.

Распоредувач автоматски ги поставува временските интервали за активност, случајните дневни ограничувања и буџетите за секоја сметка. Целта е активноста да изгледа како да ја извршува човек и да ги избегне безбедносните проверки на платформите. Во кодот, ова е наречено „одгледување сметки“ (account cultivation), според преводот на Ovi.

Во историјата на кодот се појавуваат приближно триесетина развивачи, кои работат според кинеската временска зона. Некои од нив продолжиле да додаваат измени и во октомври 2026 година.

Протечениот заден систем ги опфаќа личните сметки на WeChat и WeCom. Според Ovi, се чини дека не го опфаќа Telegram, а од повеќе GitLab-сервери бил изложен само еден.

Кој стои зад алатката?

Ovi поврзува делови од операцијата со три компании во кинеската покраина Хунан. Едната е поврзана со веб-страницата на брендот на алатката и со сертификат на сервер, втората со поднесување документација до владина веб-страница за команден сервер, а третата со дигиталниот потпис на контролната програма за Windows.

Тој наведува дека „заеднички сопственик е веројатна можност, но тоа сè уште не е докажано“.

Името што самите креатори го користат за производот е YingGai, а записите за оваа линија производи датираат уште од септември 2021 година. Примероците што ги анализирал Ovi потекнуваат од периодот од 2024 до јули 2026 година.

Со оглед на насоченоста кон мобилни паричници и еднократни лозинки, Ovi претпоставува дека алатката се користи за криминални активности мотивирани од финансиска корист. Doctor Web го опишал Baohuo како „алатка за зголемување на бројот на претплатници на каналите на Telegram“.

Индикатори за компромитација

Алатката остава две траги на телефонот што Ovi ги смета за сигурни показатели. Првата е датотеката со код TgJarPine.dex, која се наоѓа во ресурсите на некои изменети копии на Telegram. Втората е оригиналната копија на апликацијата што алатката за изменување апликации LSPatch ја остава на локацијата cache/lspatch/origin/*.apk.

Бидејќи втората трага ја создава самиот LSPatch, таа може да се појави и во апликации изменети со оваа алатка од други причини.

Кога The Hacker News ги проверил DNS-записите на 23 октомври 2026 година, неколку од серверските домени и домените за преземање на алатката веќе не се разрешувале. Доменот на серверот за поставување нови верзии сè уште упатувал кон адресата 121.37.194[.]194.

Индикаторите на алатката вклучуваат:

• SHA-256: 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, рамка и обработувачи на команди)
• SHA-256: 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, вчитувач)
• SHA-256: dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (org.thunderdog.challegram, изменет Telegram X, ноември 2024)
• SHA-256: 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (org.telegram.messenger.web, изменет Telegram, јули 2024)
• SHA-256: a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 (org.thunderdog.challegram, изменет Telegram X)
• SHA-256: f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx, главна апликација за WeChat)
• SHA-256: 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (com.ucreator.va_yjb_client, Onion Box)
• SHA-256: 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe, контролна програма за Windows)
• Домен: hpncallback.gold5play[.]com (команден сервер, не се разрешувал на 23 октомври)
• Домен: hpncallback.qianxunlbs[.]com (команден сервер, не се разрешувал на 23 октомври)
• Домен: telegram-apk.uzyzx[.]com (сервер за преземање, не се разрешувал на 23 октомври)
• Домен: hw.android.videoflow[.]cn (поставување нови верзии, упатувал кон 121.37.194[.]194 на 23 октомври)
• IP-адреса: 159.138.237[.]10:32115 (Redis-сервер)
• IP-адреса: 159.138.229[.]12:26379 (Redis-сервер)
• Домен: r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 (Redis-сервер, компонента за WeChat)
• IP-адреса: 43.225.141[.]209 (релеен сервер што го користи компонентата за Telegram)
• URL: kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ (преземање модули за пресретнување функции)

Doctor Web објавил и сопствени индикатори за компромитација за Baohuo.

Извори:

• The Hacker News – uCreator Android Spyware Can Steal Telegram 2FA Passwords and Clone WeChat Accounts The Hacker News