Spyware uCreator rouba senhas de verificação em duas etapas do Telegram no Android

Um novo spyware identificado como uCreator representa uma ameaça significativa para usuários de Android, pois é capaz de roubar as senhas de verificação em duas etapas do Telegram, permitindo que criminosos assumam o controle de contas. O programa malicioso também possui funcionalidades para clonar contas do WeChat.

A descoberta foi detalhada pelo pesquisador de segurança Ovi e divulgada pelo portal The Hacker News. O spyware funciona como uma plataforma de espionagem comercializada, onde os responsáveis podem alugar ferramentas para monitorar aplicativos, extrair informações e controlar contas remotamente.

Como o uCreator rouba senhas do Telegram?

O uCreator é distribuído principalmente por meio de arquivos APK, que permitem a instalação manual de aplicativos fora das lojas oficiais. Criminosos utilizam versões modificadas de programas legítimos para ocultar o código malicioso. Ao abrir uma versão adulterada do Telegram, o spyware opera com as mesmas permissões do aplicativo de mensagens.

O principal alvo é a senha de verificação em duas etapas, uma camada de segurança adicional do Telegram. O malware intercepta essa senha no momento em que é digitada, antes que o aplicativo a processe. Com esse acesso, os criminosos podem visualizar conversas, alterar o número de telefone associado à conta, encerrar sessões ativas e até mesmo excluir o perfil da vítima.

O código do spyware também inclui mecanismos para ocultar dispositivos invasores da lista de sessões ativas, dificultando a detecção do ataque. No caso do WeChat, o spyware utiliza um ambiente virtual chamado Onion Box para executar o aplicativo, extrair dados de autenticação e clonar a conta.

Semelhanças com o malware Baohuo

A investigação aponta semelhanças entre o uCreator e o Baohuo, outro malware que afetou versões falsas do Telegram X. Em outubro de 2025, a empresa Doctor Web revelou que o Baohuo havia infectado mais de 58 mil dispositivos Android, com o Brasil concentrando 20,5% dos aparelhos afetados.

Na época, o Baohuo era distribuído por meio de anúncios que levavam a páginas falsas de download, promovendo o Telegram X como um aplicativo para conhecer pessoas e realizar chamadas de vídeo. Segundo o The Hacker News, os dois programas compartilham elementos de código e infraestrutura, embora não esteja confirmado se os criadores do uCreator estiveram envolvidos na campanha do Baohuo.

Recomendações de segurança

Para se proteger do uCreator e de ameaças similares, a principal recomendação é evitar o download de versões modificadas do Telegram e de outros aplicativos, especialmente aquelas oferecidas por links desconhecidos ou sites que imitam lojas oficiais. É fundamental manter o Google Play Protect ativado, pois essa ferramenta verifica aplicativos instalados no Android, mesmo os obtidos fora da Play Store.

Usuários que suspeitem de uma infecção devem remover os aplicativos comprometidos, realizar uma verificação de segurança e trocar as senhas de suas contas utilizando um dispositivo confiável. No Telegram, é possível verificar os dispositivos conectados em Configurações > Dispositivos e encerrar sessões desconhecidas.

Testes preliminares em dispositivos mais recentes indicaram dificuldades de funcionamento de um componente do spyware, mas isso não garante proteção completa contra futuras variantes do ataque.