İcarəyə verilən uCreator Android casus proqramı Telegram və WeChat hesablarını hədəf alır

İcarəyə verilən uCreator Android casus dəsti iki tətbiqin işlək nüsxələrinə kod gizlədərək Telegram və WeChat hesablarını ələ keçirir, bunu tədqiqatçı Ovi tapıb. Ovinin təhlili 21 oktyabr 2026-cı ildə dərc olunub. Dəst yalnız rəsmi mağazalardan kənarda təhrif edilmiş nüsxə quraşdıranlara və ya WeChat-i dəst hazırlayanların 洋葱盒子 və ya Onion Box konteyner tətbiqində işlədənlərə çatır. Bəzi təhrif olunmuş Telegram X nüsxələri real paket adından istifadə edir.

Telegram hissəsi Doctor Web-in 2025-ci ilin oktyabrında bildirdiyi Baohuo arxa qapısına uyğundur. Doctor Web Baohuonu təhrif olunmuş Telegram X nüsxələrində tapıb və 58 000-dən çox yoluxmuş cihaz olduğunu təxmin edib. Onun təsviri Ovinin təhlili ilə eyni kod ad sahəsini (com.ucreator.tgjar), C2 serverini və əmr adlarını sadalayır. Ovinin hesabatında Doctor Web qeyd olunmur; kampaniyanı dəst hazırlayanların, yoxsa müştərinin apardığı aydın deyil.

Telegram-ın ələ keçirilməsi və WeChat klonlanması

Təhrif olunmuş Telegram tətbiqində kod tətbiqlə başlayır və onun şəxsiyyəti və icazələri ilə işləyir, bunu Ovi tapıb. Hər hədəf tətbiqin kodu quraşdırmadan sonra endirilir. Telegram-ın 2FA parolu tətbiqdə daxil edilir və o, ondan giriş sübutu yaradır. Dəst həmin mərhələni tutur və parolu heşləmədən əvvəl köçürür. Bununla kod aktiv sessiyaları sıfırlaya, bağlı nömrəni dəyişdirə və ya hesabı silə bilər. O, hücumçunun sessiyasını da gizlədir və hər üç dəqiqədən bir hesabın nömrəsini, adını və parolunu serverinə göndərir.

Nə Ovi, nə də Doctor Web gizli sessiyanın istifadəçinin digər tətbiqlərində görünüb-görünmədiyini demir və hesabı qorumaq üçün addımlar vermir. Ovi deyir ki, kod imkanı göstərir, hər addımın istifadə olunduğunu yox. WeChat üçün dəst virtualizasiyadan istifadə edə, giriş şəxsiyyətini köçürə, məlumatları zip-ləyib yükləyə və hesabı klonlamaq üçün birləşdirilmiş giriş skriptini işlədə bilər.

Ovi və tədqiqatçı Jurre arxa ucu öz GitLab serverində tapıb. O, tacirlərin və satıcıların icarəyə götürdüyü bulud konsolunu daşıyır. Hər əmr müştəri ID-si daşıyır; hər müştəri telefon parkının öz payı ilə qurbanları hədəf alır. Dəst giriş avtorizasiyalarını tutur, dostları kütləvi əlavə edir, kontakt və profil məlumatlarını toplayıb hesabların ehtiyat nüsxəsini yaradır. Planlaşdırıcı fəaliyyət insan kimi görünsün deyə vaxt pəncərələri, təsadüfi günlük limitlər və hesab üzrə büdcə təyin edir; kod bunu hesab yetişdirmə adlandırır. Sızan arxa uc şəxsi WeChat və WeCom-u əhatə edir, Telegram-ı yox; bir neçə GitLab serverindən yalnız biri aşkar edilib.

Atribusiya və göstəricilər

Ovi əməliyyatın hissələrini Hunan əyalətinin üç şirkətinə bağlayır: brend saytı və server sertifikatı, əmr serveri üçün dövlət saytında qeyd və Windows idarəetmə proqramındakı imza. O deyir ki, ortaq sahib mümkündür, amma sübut olunmayıb. Məhsulun adı YingGai-dir; qeydlər 2021-ci ilin sentyabrına gedir. Nümunələr 2024-cü ildən 2026-cı ilin iyuluna qədərdir. Ovi pul kisələri və birdəfəlik parollara fokusla maliyyə motivli cinayət fərz edir. Doctor Web Baohuonu Telegram kanal abunəçilərini artıran alət kimi təsvir edib.

Ovi iki telefon izini etibarlı sayır: təhrif olunmuş Telegram aktivlərindəki TgJarPine.dex və LSPatch yamaq alətinin cache/lspatch/origin/*.apk-da buraxdığı və başqa səbəblə yamaqlanmış tətbiqlərdə də görünə bilən orijinal nüsxə. 23 oktyabr 2026-cı ilədək dəstin bir neçə server və endirmə domeni həll olunmurdu. Versiya yükləmə domeni hələ də 121.37.194[.]194 ünvanına işarə edirdi.

Mənbələr: The Hacker News