A plataforma de espionagem para celulares Android “uCreator” infecta aplicativos populares como Telegram e WeChat para roubar contas, ler mensagens e interceptar senhas. O app adulterado roda o código malicioso de forma oculta e assume a identidade do programa original no aparelho. O pesquisador de segurança conhecido como Ovi revelou os detalhes da ameaça em um relatório publicado na terça-feira (21).
O sistema funciona como uma espécie de serviço alugado por criminosos. Os golpistas vendem o acesso à plataforma para que terceiros infectem e monitorem vítimas específicas. A ferramenta busca interceptar códigos de verificação e acessar carteiras digitais, segundo a análise técnica.
Espiões de celular clonam WeChat e roubam senhas do Telegram
A reconstrução da cadeia de execução mostrou a capacidade técnica do sistema, embora a forma inicial de infecção nem sempre seja a mesma
Ovi, pesquisador
A invasão acontece principalmente fora das lojas oficiais. Os usuários baixam arquivos modificados do Telegram X e do WeChat em sites falsos ou por meio de engenharia social. Outro caminho para o contágio é o aplicativo de contêiner “Onion Box” (que simula um “celular virtual” para espionar as ações sem alterar a plataforma original), criado por desenvolvedores do sistema. O programa funciona como um ambiente virtual e executa outras ferramentas no interior para extrair dados sem levantar suspeitas.
No caso do Telegram, a ferramenta maliciosa inicia as atividades com o aplicativo. O sistema intercepta a senha de verificação em duas etapas no momento em que o usuário digita o código na tela, antes mesmo do envio ao servidor oficial. Assim, os cibercriminosos conseguem alterar o número de telefone vinculado, encerrar sessões ativas e “trancar” o dono original fora da conta.
A invasão ao WeChat utiliza a técnica de virtualização de plataformas para clonar a conta inteira do usuário. Basicamente, o programa copia a identidade de login, compacta os dados do aplicativo e envia todas as informações para servidores externos.
Painel de servidor exposto na internet revelou dezenas de projetos e códigos em chinês usados na criação da plataforma espiã uCreator. Foto: Reproduç
O pesquisador de segurança Pierluigi Paganini analisou a estrutura do ataque e destacou o caráter comercial da ameaça. “O uCreator é notável porque transforma essas técnicas em um produto gerenciado remotamente e reutilizável”, declarou, em entrevista ao portal Security Affairs.
As equipes do Telegram e do WeChat não se manifestaram publicamente sobre o relatório até a publicação desta matéria.
Vazamento revelou servidores e desenvolvedores na China
A descoberta da estrutura do uCreator ocorreu após a localização de um servidor GitLab sem proteção de senha. Ovi e o pesquisador Jurre acessaram o código-fonte da plataforma de controle, que expôs detalhes sobre o funcionamento interno do negócio. O painel administrativo permite que os compradores gerenciem os aparelhos infectados, agendem envios de mensagens automáticas e programem ações que simulam o comportamento humano para burlar travas de segurança.
O histórico do servidor indicou a atuação de cerca de 30 desenvolvedores ativos na China. Registros de código associaram o desenvolvimento da ferramenta a uma empresa de software em Changsha. Documentos de registro na internet vinculam a infraestrutura do sistema a três empresas da província de Hunan, embora a relação direta de propriedade entre elas continue em investigação.
A ferramenta opera desde setembro de 2021 sob o nome YingGai. Amostras coletadas pelos pesquisadores mostram atualizações constantes desenvolvidas entre 2024 e 2026. Em testes realizados em um Pixel 10 Pro com o sistema Android 17, o motor de interceptação do uCreator falhou por causa de mudanças internas no código do sistema operacional. O problema exige que os criadores atualizem o programa para afetar as versões mais recentes do Android, mas versões anteriores do sistema continuam vulneráveis.
Ameaça foi identificada antes com outro nome
O componente do uCreator focado no Telegram possui a mesma estrutura de um código identificado em outubro do ano passado pela empresa de cibersegurança Doctor Web. Na época, a empresa russa chamou a ameaça de “Baohuo” após identificar a presença do código em cópias adulteradas do Telegram X. O relatório identificou que mais de 58 mil dispositivos acabaram infectados por essa versão.
Esquema ilustra o caminho do código malicioso dentro do Telegram adulterado, desde a instalação até a captura de senhas e a criação de comandos ocultos. Foto: Reproduç
A disseminação do Baohuo começou em meados de 2024 por meio de anúncios em outros aplicativos. As propagandas levavam o usuário para lojas falsas que prometiam versões do Telegram X voltadas para relacionamentos e vídeos. Os banners do golpe estavam em português, voltados para usuários no Brasil, e em indonésio. Apesar do foco inicial no público brasileiro, a Índia liderou o número de infecções na época, com 22,8% dos casos, seguida pelo País, com 20,5%.
Os pesquisadores identificaram dois sinais principais que ajudam a identificar um celular infectado: a presença do arquivo oculto “TgJarPine.dex” no Telegram modificado e um rastro deixado pela ferramenta usada pelos criminosos para alterar os aplicativos, que salva uma cópia oculta do programa original na pasta temporária do dispositivo.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
