Орендований Android-шпигунський комплект uCreator цілиться в акаунти Telegram і WeChat

Орендований Android-шпигунський набір uCreator захоплює акаунти Telegram і WeChat, ховаючи код у робочих копіях обох застосунків, виявив дослідник Ovi. Аналіз Ovi опублікували 21 жовтня 2026 року. Набір досягає лише тих, хто встановлює підмінені копії поза офіційними магазинами, або тих, хто запускає WeChat у контейнерному застосунку виробників, 洋葱盒子 або Onion Box. Деякі підмінені копії Telegram X використовують пакетне ім'я справжнього застосунку.

Частина для Telegram збігається з Baohuo, бекдором, про який Doctor Web повідомив у жовтні 2025 року. Doctor Web знайшов Baohuo у підмінених копіях Telegram X і оцінив понад 58 000 заражених пристроїв. Опис перелічує той самий простір імен коду, com.ucreator.tgjar, сервер керування та команд і назви команд, що й в аналізі Ovi. Звіт Ovi не згадує Doctor Web, і неясно, чи кампанію проводили виробники набору, чи клієнт.

Захоплення Telegram і клонування WeChat

Усередині підміненого застосунку Telegram код запускається разом із ним і працює з його ідентичністю та дозволами, виявив Ovi. Код для кожного цільового застосунку завантажується після встановлення. Пароль двокрокової перевірки вводиться у застосунку, який робить із нього доказ входу. Набір перехоплює цей крок і копіює пароль до хешування. Далі код може скидати сеанси, змінювати номер телефону або видаляти акаунт. Він також ховає сеанс зловмисника і щотри хвилини надсилає на свій сервер номер, ім'я та пароль акаунта.

Ні Ovi, ні Doctor Web не кажуть, чи з'являється прихований сеанс в інших, непідмінених застосунках користувача, і не дають кроків для захисту акаунта. Ovi каже, що код показує можливості, а не те, що кожен крок було використано. Для WeChat набір може використовувати віртуалізацію застосунків, копіювати ідентичність входу, архівувати та завантажувати дані застосунку і вбудованим сценарієм входу клонувати акаунт.

Ovi та дослідник Jurre знайшли бекенд на самостійно розміщеному GitLab. Він містить хмарну консоль, яку орендують торговці та реселери. Кожна команда містить ID клієнта, тож кожен клієнт націлює на жертв свою частку телефонного парку. Набір перехоплює авторизації входу, масово додає друзів, збирає контактні та профільні дані й робить резервні копії акаунтів. Планувальник задає часові вікна, випадкові щоденні ліміти та бюджети на акаунт, щоб активність виглядала людською; код називає це вирощуванням акаунтів. Злитий бекенд охоплює особистий WeChat і WeCom, не Telegram, і з кількох серверів GitLab розкрито лише один.

Атрибуція та індикатори

Ovi пов'язує частини операції з трьома компаніями провінції Хунань: через вебсайт бренду і сертифікат сервера, подання на урядовому вебсайті для сервера команд і підпис програми керування Windows. Він каже, що спільний власник правдоподібний, але не доведений. Назва продукту YingGai, а записи сягають вересня 2021 року. Досліджені зразки датуються від 2024 року до липня 2026 року. Ovi припускає злочин із фінансовим мотивом, з огляду на увагу до гаманців і одноразових кодів. Doctor Web описав Baohuo як інструмент для збільшення кількості підписників каналів Telegram.

Ovi називає два сліди надійними: TgJarPine.dex у підмінених ресурсах Telegram і оригінальну копію, яку патчер LSPatch лишає в cache/lspatch/origin/*.apk і яка може з'являтися й у застосунках, пропатчених з інших причин. Станом на 23 жовтня 2026 року кілька серверних і завантажувальних доменів набору більше не розв'язувалися. Домен завантаження версій усе ще вказував на 121.37.194[.]194.

Джерела: The Hacker News