გასაქირავებელი Android-ის ჯაშუშური პროგრამა uCreator Telegram-ისა და WeChat-ის ანგარიშებს ესხმის თავს

გასაქირავებელი Android-ის ჯაშუშური ნაკრები uCreator Telegram-ისა და WeChat-ის ანგარიშებს ითვისებს იმით, რომ კოდს ამ ორი აპის მოქმედ ასლებში მალავს, აღმოაჩინა მკვლევარმა Ovi-მ. მისი ანალიზი 2026 წლის 21 ოქტომბერს გამოქვეყნდა. ის მხოლოდ მათ ეხება, ვინც შეცვლილ ასლებს ოფიციალური მაღაზიების გარეთ აყენებს ან WeChat-ს შემქმნელთა კონტეინერ აპში, 洋葱盒子-ში ან Onion Box-ში, იყენებს. ზოგი შეცვლილი Telegram X-ის ასლი ნამდვილი აპის პაკეტის სახელს იყენებს.

Telegram-ის ნაწილი ემთხვევა Baohuo-ს, უკანა კარს, რომლის შესახებაც Doctor Web-მა 2025 წლის ოქტომბერში იტყობინა. Doctor Web-მა Baohuo შეცვლილ Telegram X-ის ასლებში იპოვა და 58 000-ზე მეტი ინფიცირებული მოწყობილობა შეაფასა. მისი აღწერა იმავე კოდის სახელთა სივრცეს, com.ucreator.tgjar, C2 სერვერსა და ბრძანებების სახელებს ჩამოთვლის, რაც Ovi-ის ანალიზშია. Ovi-ის ანგარიში Doctor Web-ს არ იხსენიებს. გაურკვეველია, ის კამპანია, რომელსაც Doctor Web აკვირდებოდა, შემქმნელებმა გაუშვეს თუ მომხმარებელმა.

Telegram-ის ხელში ჩაგდება და WeChat-ის კლონირება

შეცვლილ Telegram-ის აპში კოდი აპთან ერთად ირთვება და მისი იდენტობითა და ნებართვებით მუშაობს, აღმოაჩინა Ovi-მ. თითოეული სამიზნე აპის კოდი ინსტალაციის შემდეგ ჩამოიტვირთება. Telegram-ის 2FA პაროლი აპში შეიყვანება, აპი კი მისგან შესვლის დამადასტურებელ მტკიცებულებას ქმნის. ნაკრები ამ ნაბიჯს იჭერს და პაროლს ჰეშირებამდე აკოპირებს. მისით კოდს შეუძლია აქტიური სესიების გაუქმება, ნომრის შეცვლა ან ანგარიშის წაშლა. ის მალავს თავდამსხმელის სესიას და ყოველ სამ წუთში სერვერზე აგზავნის ანგარიშის ნომერს, სახელსა და პაროლს.

Ovi და Doctor Web არ ამბობენ, ჩანს თუ არა დამალული სესია მომხმარებლის სხვა აპებში, და დაცვის ნაბიჯებსაც არ იძლევიან. Ovi-ის თქმით, კოდი შესაძლებლობას აჩვენებს და არა იმას, რომ ყველა ნაბიჯი გამოიყენეს. WeChat-ისთვის ნაკრებს შეუძლია აპების ვირტუალიზაცია, იდენტობის კოპირება, მონაცემების zip-ად შეკუმშვა და ატვირთვა და ჩაშენებული სკრიპტით ანგარიშის კლონირება.

Ovi-მ და მკვლევარმა Jurre-მ ბექენდი საკუთარ GitLab სერვერზე იპოვეს. მას ღრუბლოვანი კონსოლი აქვს, რომელსაც ვაჭრები და რესელერები ქირაობენ. თითოეულ ბრძანებას მომხმარებლის ID ახლავს, ამიტომ ყოველი მსხვერპლს ტელეფონების პარკის საკუთარი წილით ესხმის თავს. ნაკრები იჭერს შესვლის ავტორიზაციებს, ნაყარად ამატებს მეგობრებს, აგროვებს კონტაქტებსა და პროფილს და ამარქივებს ანგარიშებს. დამგეგმავი ადგენს დროის ფანჯრებს, შემთხვევით ლიმიტებსა და ბიუჯეტებს, რათა აქტივობა ადამიანურად გამოიყურებოდეს, რასაც კოდი ანგარიშის მოვლას უწოდებს. გაჟონილი ბექენდი პირად WeChat-სა და WeCom-ს მოიცავს, არა Telegram-ს; რამდენიმე GitLab სერვერიდან მხოლოდ ერთი გამჟღავნდა.

ატრიბუცია და ინდიკატორები

ოპერაციის ნაწილებს Ovi ჰუნანის პროვინციის სამ კომპანიას უკავშირებს: ბრენდის ვებსაიტსა და სერვერის სერტიფიკატს, სახელმწიფო ვებსაიტზე ბრძანების სერვერის განაცხადს და Windows-ის საკონტროლო პროგრამის ხელმოწერას. მისი თქმით, საერთო მფლობელი სავარაუდოა, მაგრამ დაუმტკიცებელი. პროდუქტის სახელია YingGai, ჩანაწერები კი 2021 წლის სექტემბრამდე აღწევს. შესწავლილი ნიმუშები 2024 წლიდან 2026 წლის ივლისამდე პერიოდისაა. Ovi ფინანსურად მოტივირებულ დანაშაულს ვარაუდობს, ვინაიდან ყურადღება საფულეებსა და ერთჯერად კოდებზეა. Doctor Web-მა Baohuo Telegram-ის არხების გამომწერების გაზრდის ინსტრუმენტად აღწერა.

Ovi სანდოდ ორ კვალს მიიჩნევს: TgJarPine.dex-ს ზოგიერთ შეცვლილ Telegram-ის რესურსში და იმ ასლს, რომელსაც პატჩერი LSPatch cache/lspatch/origin/*.apk-ში ტოვებს და რომელიც სხვა მიზეზით დაპატჩილ აპებშიც ჩნდება. 2026 წლის 23 ოქტომბრისთვის ნაკრების რამდენიმე სერვერისა და ჩამოტვირთვის დომენი აღარ იხსნებოდა. ვერსიის ატვირთვის დომენი კვლავ 121.37.194[.]194 მისამართზე მიუთითებდა.

წყაროები: The Hacker News