Վարձակալվող uCreator Android լրտեսական հավաքածուն թիրախավորում է Telegram-ի և WeChat-ի հաշիվները

Վարձակալվող uCreator Android լրտեսական փաթեթը զավթում է Telegram-ի և WeChat-ի հաշիվները՝ կոդ թաքցնելով երկու ծրագրերի աշխատող պատճեններում, պարզել է հետազոտող Ovi-ն։ Ovi-ի վերլուծությունը լույս է տեսել 2026 թ. հոկտեմբերի 21-ին։ Այն հասնում է միայն նրանց, ովքեր պաշտոնական խանութներից դուրս տեղադրում են կեղծված պատճեններ կամ WeChat-ը գործարկում պատրաստողների կոնտեյներային ծրագրում՝ 洋葱盒子 կամ Onion Box։ Որոշ կեղծված Telegram X պատճեններ կրկնում են իրական փաթեթի անունը։

Telegram-ի մասը համընկնում է Baohuo-ի հետ՝ 2025 թ. հոկտեմբերին Doctor Web-ի հաղորդած հետևի մուտքի։ Doctor Web-ը Baohuo գտել է կեղծված Telegram X պատճեններում և 58,000-ից ավելի վարակված սարք գնահատել։ Նկարագրությունը թվարկում է նույն կոդային անվանատարածքը՝ com.ucreator.tgjar, C2 սերվերը և հրամանների անունները, ինչ Ovi-ի վերլուծությունը։ Ovi-ի զեկույցը չի հիշատակում Doctor Web-ին, և պարզ չէ՝ արշավը վարել են պատրաստողները, թե հաճախորդը։

Telegram-ի զավթում և WeChat-ի կլոնավորում

Կեղծված Telegram ծրագրում կոդը մեկնարկում է ծրագրի հետ և աշխատում նրա ինքնությամբ ու թույլտվություններով, պարզել է Ovi-ն։ Թիրախ ծրագրերի կոդը ներբեռնվում է տեղադրումից հետո։ Telegram-ի 2FA գաղտնաբառը մուտքագրվում է ծրագրում, որը դրանից ստեղծում է մուտքի ապացույց։ Փաթեթը որսում է այդ քայլը և գաղտնաբառը պատճենում մինչև հեշավորումը։ Դրանով կոդը կարող է վերակայել սեսիաները, փոխել համարը կամ ջնջել հաշիվը։ Այն թաքցնում է հարձակվողի սեսիան և ամեն երեք րոպեն մեկ սերվերին ուղարկում հաշվի համարը, անունը և գաղտնաբառը։

Ոչ Ovi-ն, ոչ Doctor Web-ը չեն ասում՝ թաքնված սեսիան երևում է արդյոք օգտատիրոջ այլ ծրագրերում, և չեն տալիս հաշիվն ապահովելու քայլեր։ Ovi-ն ասում է, որ կոդը ցույց է տալիս հնարավորություն, ոչ թե ամեն քայլի կիրառում։ WeChat-ի դեպքում փաթեթը կարող է կիրառել վիրտուալացում, պատճենել մուտքի ինքնությունը, zip-ավորել ու վերբեռնել տվյալները և կցված սկրիպտով կլոնավորել հաշիվը։

Ovi-ն ու հետազոտող Jurre-ը հետևի մասը գտել են սեփական GitLab սերվերում՝ ամպային վահանակով, որը վարձակալում են առևտրականներն ու վերավաճառողները։ Ամեն հրաման կրում է հաճախորդի ID, ուստի ամեն հաճախորդ թիրախավորում է զոհերին հեռախոսների պարկի իր բաժնով։ Փաթեթը որսում է մուտքի թույլտվությունները, զանգվածաբար ընկերներ ավելացնում, հավաքում կոնտակտներ ու պրոֆիլ և կրկնօրինակում հաշիվները։ Պլանավորիչը սահմանում է ժամանակային պատուհաններ, պատահական օրական սահմաններ և հաշվի բյուջե, որ գործունեությունը մարդկային թվա. կոդն այդ կոչում է հաշվի աճեցում։ Արտահոսած հետևի մասն ընդգրկում է անձնական WeChat-ն ու WeCom-ը, ոչ Telegram-ը, և GitLab-ի մի քանի սերվերից բացահայտվել է միայն մեկը։

Վերագրում և ցուցիչներ

Ovi-ն գործողության մասերը կապում է Հունան նահանգի երեք ընկերությունների հետ՝ բրենդի վեբկայքով ու սերվերի վկայագրով, կառավարական վեբկայքում հրամանատրական սերվերի գրանցմամբ և Windows-ի կառավարման ծրագրի ստորագրությամբ։ Ընդհանուր սեփականատերը, նրա խոսքով, հավանական է, բայց ապացուցված չէ։ Արտադրանքի անունը YingGai է, գրառումները՝ 2021 թ. սեպտեմբերից։ Նմուշները 2024-ից մինչև 2026 թ. հուլիս։ Ovi-ն ենթադրում է ֆինանսապես դրդված հանցագործություն՝ դրամապանակների ու միանգամյա գաղտնաբառերի վրա ուշադրության պատճառով։ Doctor Web-ը Baohuo-ն նկարագրել է որպես Telegram ալիքների բաժանորդներ ավելացնող գործիք։

Ovi-ն հուսալի է համարում երկու հետք՝ TgJarPine.dex-ը կեղծված Telegram ռեսուրսներում և LSPatch կարկատիչի թողած բնօրինակը cache/lspatch/origin/*.apk-ում, որ լինում է նաև այլ կարկատված ծրագրերում։ 2026 թ. հոկտեմբերի 23-ին փաթեթի մի քանի սերվերային ու ներբեռնման դոմեններ չէին լուծվում։ Տարբերակի վերբեռնման դոմենը դեռ ցույց էր տալիս 121.37.194[.]194-ը։

Աղբյուրներ՝ The Hacker News