Набор uCreator может красть пароли 2FA Telegram и клонировать аккаунты WeChat
Изображение: OpenAI
Шпионский набор uCreator для Android позволяет перехватывать пароль двухэтапной аутентификации Telegram и клонировать аккаунты WeChat, выяснил исследователь Ovi. Набор сдают в аренду; под угрозой только пользователи подменённых приложений из неофициальных источников или WeChat, запущенного в контейнере создателей набора. При проверке на Pixel 10 Pro с Android 17 механизм перехвата функций не смог найти нужную внутреннюю функцию Android. Однако другой инструмент, Frida, смог выполнить такой перехват на том же телефоне: Ovi считает результат дополнительной задачей для создателей набора, а не доказательством того, что Android 17 блокирует атаку.
The Hacker News обнаружило у Telegram-модуля и бэкдора Baohuo одинаковые имена команд и управляющий сервер. Компания «Доктор Веб» в октябре 2025 года оценивала число заражённых Baohuo устройств более чем в 58 тыс. Неизвестно, кто проводил ту кампанию: создатели набора или один из их клиентов.
В подменённом Telegram вредоносный код работает с правами самого приложения и копирует пароль 2FA в открытом виде до хеширования. Набор также позволяет читать историю переписки и скрывать сессию злоумышленника в списке устройств заражённого приложения. Видна ли такая сессия в других, немодифицированных клиентах Telegram, исследователи не уточняют.
В случае WeChat набор может запускать неизменённое приложение внутри собственного контейнера. Он копирует данные для входа и выгружает данные приложения, после чего использует специальный скрипт для клонирования аккаунта. На историю переписки этот модуль не нацелен.
Ovi подчёркивает, что исследовал технические возможности набора: анализ кода не доказывает, что злоумышленники применяли все функции в атаках. На одном из управляющих серверов он нашёл данные жертв, предположительно находившихся в Китае и США, но сведений для надёжной оценки их числа не хватило.
