Plataforma uCreator rouba contas de Telegram e WeChat em celulares Android

Uma nova e sofisticada plataforma de espionagem para celulares Android, batizada de uCreator, tem sido utilizada para roubar contas de aplicativos populares como Telegram e WeChat. A ferramenta maliciosa opera de forma oculta, infectando versões adulteradas desses aplicativos e assumindo sua identidade no aparelho da vítima. O pesquisador de segurança conhecido como Ovi revelou os detalhes da ameaça em um relatório publicado na terça-feira (21).

O uCreator funciona como um serviço alugado por criminosos, que vendem o acesso à plataforma para que terceiros infectem e monitorem vítimas específicas. O principal objetivo é interceptar códigos de verificação, ler mensagens e roubar senhas, com potencial para acessar carteiras digitais. A invasão ocorre majoritariamente fora das lojas oficiais de aplicativos, onde os usuários baixam arquivos modificados do Telegram X e do WeChat em sites falsos ou por meio de engenharia social.

Como funciona a infecção e o roubo de dados

Uma das formas de contágio é através do aplicativo “Onion Box”, que simula um “celular virtual” para espionar ações sem alterar a plataforma original. Esse ambiente virtual executa outras ferramentas para extrair dados sem levantar suspeitas. No caso do Telegram, o código malicioso intercepta a senha de verificação em duas etapas no momento em que o usuário a digita, antes mesmo de ser enviada ao servidor oficial. Isso permite que os cibercriminosos alterem o número de telefone vinculado, encerrem sessões ativas e bloqueiem o dono original da conta.

Para o WeChat, a invasão utiliza a técnica de virtualização de plataformas para clonar a conta inteira do usuário. O programa copia a identidade de login, compacta os dados do aplicativo e envia todas as informações para servidores externos. O pesquisador Pierluigi Paganini destacou o caráter comercial da ameaça, afirmando que o uCreator transforma essas técnicas em um produto gerenciado remotamente e reutilizável.

Origem e desenvolvimento da plataforma

A descoberta da estrutura do uCreator ocorreu após a localização de um servidor GitLab sem proteção de senha. O acesso ao código-fonte da plataforma de controle expôs detalhes sobre o funcionamento interno do negócio. O painel administrativo permite que os compradores gerenciem os aparelhos infectados, agendem envios de mensagens automáticas e programem ações que simulam o comportamento humano para burlar travas de segurança.

O histórico do servidor indicou a atuação de cerca de 30 desenvolvedores ativos na China. Registros de código associaram o desenvolvimento da ferramenta a uma empresa de software em Changsha, e documentos na internet vinculam a infraestrutura do sistema a três empresas da província de Hunan, embora a relação direta de propriedade ainda esteja em investigação. A ferramenta opera desde setembro de 2021 sob o nome YingGai, com amostras coletadas mostrando atualizações constantes desenvolvidas entre 2024 e 2026.

Vulnerabilidades e versões anteriores

Testes realizados em um Pixel 10 Pro com o sistema Android 17 mostraram que o motor de interceptação do uCreator falhou devido a mudanças internas no código do sistema operacional. Isso exige que os criadores atualizem o programa para afetar as versões mais recentes do Android, mas versões anteriores do sistema continuam vulneráveis.

O componente do uCreator focado no Telegram possui a mesma estrutura de um código identificado em outubro do ano passado pela empresa de cibersegurança Doctor Web, que o chamou de “Baohuo”. Na época, mais de 58 mil dispositivos foram infectados por essa versão. A disseminação do Baohuo começou em meados de 2024 por meio de anúncios em outros aplicativos, que levavam os usuários a lojas falsas prometendo versões do Telegram X voltadas para relacionamentos e vídeos. Os banners de golpe foram encontrados em português, voltados para usuários no Brasil, e em indonésio. Apesar do foco inicial no público brasileiro, a Índia liderou o número de infecções na época, com 22,8% dos casos, seguida pelo Brasil, com 20,5%.

Como identificar um celular infectado

Os pesquisadores identificaram dois sinais principais que ajudam a identificar um celular infectado: a presença do arquivo oculto “TgJarPine.dex” no Telegram modificado e um rastro deixado pela ferramenta usada pelos criminosos para alterar os aplicativos, que salva uma cópia oculta do programa original na pasta temporária do dispositivo.