Шпионское ПО uCreator для Android может красть пароли от двухфакторной аутентификации Telegram и клонировать учетные записи WeChat.

[admin]

доступный для аренды набор шпионского ПО для Android под названием uCreator захватывает учетные записи Telegram и WeChat, скрывая свой код внутри рабочих копий этих двух приложений Исследователь Ови обнаружил, что . Он попадает только к тем, кто устанавливает одну из таких модифицированных копий, распространяемых вне официальных магазинов приложений, или кто запускает WeChat внутри собственного контейнерного приложения создателей набора.


Часть набора, относящаяся к Telegram, совпадает с Baohuo , бэкдором, о котором компания Doctor Web сообщила в октябре 2025 года . Doctor Web обнаружила Baohuo в модифицированных копиях Telegram X, приложения Telegram для Android. В то время компания оценила число зараженных устройств более чем в 58 000.


Издание Hacker News сравнило два отчета. В техническом описании Baohuo на сайте Doctor Web указано то же самое пространство имен кода. com.ucreator.tgjarтот же сервер управления и контроля (C2) и совпадающие названия команд с анализом Ови.


В анализе Ovi, опубликованном 21 октября 2026 года, не упоминаются выводы Doctor Web, и Doctor Web не назвала используемый набор инструментов. Неясно, проводила ли рекламную кампанию, отслеживаемую Doctor Web, сама компания-производитель набора или один из ее клиентов.

Кто подвержен риску?​

Как выяснил Ови, модифицированные приложения распространялись через так называемую «боевую установку», когда человек устанавливает файл приложения напрямую, а не из магазина приложений, а также посредством социальной инженерии. Он не смог подтвердить, как именно заражались все жертвы.


Второй вариант — это собственное приложение для контейнеров, разработанное производителями наборов, под названием 洋葱盒子 («Луковый ящик»), которое запускает другие приложения внутри себя.


Некоторые из поддельных копий Telegram X используют то же имя пакета, что и настоящее приложение в Google Play, поэтому одного названия недостаточно, чтобы их выдать.

Компания Doctor Web обнаружила , что копии Baohuo распространялись с середины 2024 года через внутриигровую рекламу, которая вела на поддельные сайты магазинов приложений. Эти сайты рекламировали Telegram X как приложение для знакомств и видеочата.

Баннеры сайтов были доступны только на португальском языке для пользователей из Бразилии и на индонезийском. Тем не менее, согласно карте зараженных устройств по странам, составленной Doctor Web к 2025 году, Индия занимает первое место с показателем 22,8%, опережая Бразилию (20,5%) и Индонезию (9,6%).


Копии Baohuo также появились в сторонних магазинах APKPure, ApkSum и AndroidP. В APKPure одна из них была указана под именем официального разработчика, хотя её цифровая подпись отличалась.


Ови получил доступ к одному из командных серверов комплекта. На нем хранились данные о жертвах, предположительно находящихся в Китае и США, но недостаточно для достоверного подсчета. Он называет свой отчет «анализом технических возможностей, а не оценкой последствий для жертв».


Предполагаемые цели, хотя и неподтвержденные, — пользователи мобильных кошельков и мессенджеров в Китае и Юго-Восточной Азии, включая WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash и MoMo. Он обнаружил код, поддерживающий около 20 приложений, но опубликовал код только для Telegram и WeChat.




Механизм перехвата кода в этом комплекте позволяет перехватывать функции приложения. Ovi проверил его на Pixel 10 Pro под управлением Android 17. Он не смог обнаружить внутреннюю функцию Android, на которую он полагается, поскольку в более новых версиях Android эта функция была изменена.


Другой инструмент, Frida, также мог подключаться к приложениям таким же образом на этом телефоне. Поэтому Ovi описывает это как дополнительную работу для разработчиков комплекта, а не как доказательство того, что Android 17 блокирует эту атаку.


В самом новом образце, датированном 29 июля 2026 года, всё ещё использовался старый движок. Он обнаружил образцы, собранные для Android 16, но не сообщил о тестировании этой версии. Он не тестировал телефоны китайских производителей.

Как это захватывает аккаунт в Telegram​

Как выяснил Ови, внутри модифицированного приложения Telegram код комплекта начинается с самого приложения и выполняется от имени этого приложения с использованием его собственной учетной записи и разрешений. Это дает ему тот же доступ, что и авторизованному приложению.


Каждое модифицированное приложение также запускает внутри себя локальный командный сервер. Код каждого целевого приложения загружается после установки, что затрудняет самостоятельный анализ файла установщика.


Злоумышленники могут отправить любой запрос к базе данных в хранилище сообщений приложения и получить доступ к истории чата.


Пароль для двухфакторной аутентификации (2FA) Telegram вводится в приложение, которое использует его для генерации подтверждения входа на телефон . Комплект перехватывает этот шаг и копирует пароль в читаемом виде, после чего приложение его хеширует.


С помощью пароля код может сбросить сеансы входа в учетную запись, изменить связанный номер телефона или удалить учетную запись. Другие части кода предназначены для блокировки владельца, сохраняя при этом сеанс злоумышленника активным.


Этот код также может скрыть сессию злоумышленника от списка устройств, который модифицированное приложение показывает пользователю.


В описании Baohuo от Doctor Web упоминается тот же способ сокрытия устройства. Кроме того, бэкдор каждые три минуты отправляет на свой сервер номер телефона, имя пользователя и пароль учетной записи.


Ни Ovi, ни Doctor Web не сообщают, отображается ли скрытая сессия в других, неизмененных приложениях Telegram пользователя. Ни одно из них не предоставляет инструкций по защите учетной записи, захваченной таким образом.


Ови утверждает, что код демонстрирует возможности комплекта инструментов, а не то, что злоумышленники использовали каждый этап от начала до конца.


Ранее вредоносные программы для Android также запускали легитимные приложения, содержащие код злоумышленника. FjordPhantom делал это с банковскими приложениями через виртуализацию в 2023 году, и то же самое делал банковский троян GodFather в 2025 году.


Ови утверждает, что этот комплект отличается тем, что продается как готовый продукт. Клиенты могут удаленно управлять им с помощью любого приложения, для которого разработчики написали модуль.

Часть, относящаяся к WeChat, и утечка информации о внутренней структуре приложения.​

Как выяснил Ови, для WeChat комплект также может использовать виртуализацию приложений, запуская неизмененное приложение внутри собственного контейнера. Команда копирует данные для входа в учетную запись. Затем данные приложения архивируются и загружаются, а встроенный скрипт входа используется для клонирования учетной записи.


Эта часть относится к самой учетной записи, а не к истории ее чатов.


Ови и другой исследователь, Юрре, также обнаружили серверный код комплекта на собственном сервере GitLab. Это была единственная часть установки, не ограничивающаяся утвержденными IP-адресами.


В коде показана облачная консоль, которую арендуют продавцы и реселлеры. Каждая команда содержит идентификатор клиента, поэтому каждый клиент направляет свою долю телефонного парка на выбранных им жертв.


Команды отправляются на телефоны из телефонной сети, контролируемой системой, а также на телефоны жертв. Там система перехватывает данные для авторизации при входе в систему, добавляет друзей массово, собирает контактные и профильные данные и создает резервные копии целых учетных записей.


Планировщик устанавливает временные окна, случайные дневные лимиты и бюджеты для каждого аккаунта, чтобы активность выглядела естественной и проходила проверки рисков платформы. В переводе Ови это называется «поддержанием аккаунта».


В истории изменений кода фигурирует около трех десятков разработчиков, все из которых работали по китайскому времени, и некоторые из них продолжали вносить изменения даже в октябре 2026 года.


Утекшая информация о внутренней структуре системы касается личных аккаунтов WeChat и WeCom. По словам Ови, она, по всей видимости, не затрагивает Telegram, и был раскрыт только один из нескольких серверов GitLab.

Кто за этим стоит?​

Компания Ovi связывает часть своей операции с тремя компаниями в провинции Хунань, Китай. Одна из них связана с веб-сайтом бренда комплекта и сертификатом сервера, другая — с правительственным веб-сайтом, подающим заявку на командный сервер, а третья — с цифровой подписью программы управления Windows, входящей в комплект.


Он говорит, что вариант с долевой собственностью "правдоподобен, но пока не доказан".

Собственное название производителя — YingGai, и эта линейка продукции фигурирует в документах, начиная с сентября 2021 года. Образцы, изученные компанией Ovi, датируются периодом с 2024 по июль 2026 года.


Ови предполагает, что этот набор используется для преступлений, мотивированных финансовыми выгодами, учитывая его ориентацию на электронные кошельки и одноразовые пароли. Доктор Веб описал Baohuo как «инструмент для увеличения числа подписчиков в каналах Telegram».

Признаки компромисса​

Комплект оставляет на телефоне два следа, которые, по словам Ovi, являются надежными. Один из них — файл с кодом. TgJarPine.dex, в активах некоторых модифицированных копий Telegram. Другая — это оригинальная копия приложения, которую LSPatch, готовый инструмент для установки патчей, оставляет в исходном виде. cache/lspatch/origin/*.apk.


Поскольку второй след исходит от самого LSPatch, он также может появляться в приложениях, пропатченных с помощью этого инструмента по другим причинам.


Когда 23 октября 2026 года издание The Hacker News проверило DNS-записи, выяснилось, что несколько доменов сервера и загрузки комплекта перестали разрешаться. Домен сервера загрузки версий по-прежнему указывал на 121.37.194[.]194.


В состав комплекта входят следующие индикаторы:

• SHA-256 : 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301(com.ucreator.tg, обработчики фреймворков и команд)
• SHA-256 : 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94(com.uckj.tgx, загрузчик)
• SHA-256 : dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e(org.thunderdog.challegram, модифицированный Telegram X, ноябрь 2024 г.)
• SHA-256 : 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717(org.telegram.messenger.web, модифицированный Telegram, июль 2024 г.)
• SHA-256 : a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4(org.thunderdog.challegram, модифицированный Telegram X)
• SHA-256 : f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20(com.ucreator.va_vx, хост WeChat)
• SHA-256 : 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c(com.ucreator.va_yjb_client, Onion Box)
• SHA-256 : 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1(uip.exe, управляющая программа Windows)
• Домен : hpncallback.gold5play[.]com(Сервер команд не может разрешить имя 23 октября)
• Домен : hpncallback.qianxunlbs[.]com(Сервер команд не может разрешить имя 23 октября)
• Домен : telegram-apk.uzyzx[.]com(Загрузка хоста не удалась 23 октября)
• Домен : hw.android.videoflow[.]cn(версии загружены, указывая на 121.37.194[.]194 от 23 октября)
• IP-адрес : 159.138.237[.]10:32115(Сервер Redis)
• IP-адрес : 159.138.229[.]12:26379(Сервер Redis)
• Домен : r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531(Сервер Redis, часть, относящаяся к WeChat)
• IP-адрес : 43.225.141[.]209(Ретранслятор, используемый частью Telegram)
• URL : kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/(загрузки хуков)

Компания Doctor Web опубликовала собственные индикаторы для Baohuo.

Источник