Новый вирус для Android крадёт пароли Telegram и клонирует аккаунты WeChat

Коммерческий шпионский инструмент uCreator для Android перехватывает пароли двухэтапной аутентификации Telegram и позволяет клонировать аккаунты WeChat. Исследователь под псевдонимом Ovi выяснил, что вредоносный код прячется в модифицированных копиях мессенджеров или запускает легальные программы внутри оболочки. Операторы управляют заражёнными смартфонами удалённо, а саму платформу сдают в аренду другим злоумышленникам.

Исследование вышло 21 октября 2026 года. Компонент для Telegram оказался похож на вредоносную программу Baohuo, о которой Doctor Web сообщила в октябре 2025 года, оценив число заражённых устройств более чем в 58 тыс. Связь авторов двух разработок пока не доказана.

uCreator не заражает смартфоны автоматически, пользователь сам ставит изменённую версию приложения или запускает WeChat внутри программы-контейнера. Некоторые копии Telegram X используют имя пакета официального клиента из Google Play, поэтому название ничего не доказывает. Выделяются три пути доставки вредоносного кода:

• сторонние каталоги APKPure, ApkSum и AndroidP, где находили модифицированные приложения;
• реклама внутри приложений, которая вела на поддельные сайты магазинов;
• контейнер «Луковая коробка», внутри которого привычные программы работают под контролем инструмента.

По статистике Doctor Web за 2025 год, на Индию пришлось 22,8% обнаруженных заражённых устройств, на Бразилию 20,5%, на Индонезию 9,6%. Ovi получил доступ к одному из серверов управления и нашёл данные, предположительно связанные с жертвами в Китае и США. Масштаб ущерба по ним оценить нельзя, а исследователь предупредил, что описывает лишь технические возможности инструмента.

В модифицированном Telegram код uCreator стартует вместе с мессенджером и открывает локальный сервер команд, через который операторы запрашивают переписку и данные для входа. Пароль двухэтапной аутентификации копируется в читаемом виде до хеширования, то есть раньше, чем приложение превращает его в криптографическое доказательство. Для захваченного аккаунта в коде предусмотрены следующие операции:

• управление активными сеансами;
• смена привязанного номера телефона;
• удаление учётной записи;
• сокрытие постороннего сеанса в списке устройств, из-за чего владелец может не заметить подключение.

Наличие функции в коде доказывает техническую возможность, но не то, что злоумышленники применяли её в каждой атаке. Россию исследователи среди затронутых стран не называли, но Telegram остаётся одним из главных мессенджеров для российских пользователей, а ручная установка APK давно знакома многим владельцам Android.

Ovi нашёл код примерно для 20 программ, среди которых WeCom, QQ, WhatsApp, LINE, Viber и платёжные сервисы GCash и MoMo, хотя подробно разобраны только Telegram и WeChat. Часть компонентов загружается уже после установки, поэтому проверка одного APK-файла не раскрывает все возможности инструмента.

В случае с WeChat оригинальное приложение может оставаться нетронутым, а вредоносные функции работают на уровне контейнера. Инструмент извлекает идентификаторы аккаунта, упаковывает данные приложения в архив и отправляет на сервер, после чего встроенная процедура авторизации воспроизводит доступ к учётной записи. Для многих россиян, работающих с китайскими партнёрами, WeChat остаётся рабочим инструментом, а клонированный аккаунт открывает посторонним деловую переписку.

Ovi и исследователь по имени Jurre нашли серверную часть на собственном GitLab. Внутри оказалась облачная консоль, через которую посредники сдают инструмент в аренду, а каждая команда содержит идентификатор заказчика. В зависимости от модуля платформа умеет следующее:

• перехватывать разрешения на вход;
• массово добавлять контакты;
• собирать данные профилей и списков контактов;
• создавать резервные копии аккаунтов.

Расписания, случайные дневные лимиты и ограничения активности для отдельных учётных записей растягивают действия во времени и снижают шанс срабатывания защиты платформ. В коде этот процесс назван «выращиванием аккаунтов». Журнал изменений указывает примерно на 30 разработчиков, работавших по китайскому времени. Инфраструктуру Ovi связал с тремя компаниями из китайской провинции Хунань, но общий владелец остаётся предположением.

На Pixel 10 Pro с Android 17 механизм внедрения кода не нашёл внутреннюю функцию системы, от которой зависит перехват, а Frida на том же смартфоне работала. Ovi не считает это доказательством полной защиты Android 17.

Ovi назвал два признака, по которым можно проверить смартфон:

• файл TgJarPine.dex в ресурсах модифицированных копий Telegram;
• оригинальный APK-файл, который LSPatch сохраняет в каталоге cache/lspatch/origin.

Второй признак не доказывает заражение, поскольку LSPatch применяют и для безобидных модификаций. Мессенджеры стоит ставить только из официальных магазинов или с сайтов разработчиков, не запускать привычные программы в неизвестных оболочках и при подозрениях проверять аккаунт с другого устройства. Если пароль мог утечь, менять данные внутри заражённого приложения недостаточно.

Эксперты CISOCLUB отметили, что uCreator превращает кражу аккаунтов в услугу по подписке, где заказчику не нужно писать вредоносный код под каждую цель. Готовые модули, панель для посредников и разделение операций по идентификаторам клиентов снижают порог входа для злоумышленников без собственных технических навыков.

Код работает внутри привычного приложения с его правами, поэтому интерфейс не даёт поводов для подозрений, а скрытый сеанс не виден в списке устройств. Двухэтапная аутентификация теряет смысл, когда пароль копируется в момент ввода. Проверять нужно источник установки и цифровую подпись приложения. Компаниям стоит запретить установку мессенджеров из сторонних каталогов на устройства с рабочей перепиской.

Ранее сообщалось, что исследователи Group-IB изучили троян удалённого доступа KGB RAT, который распространяется по подписочной модели и позволяет злоумышленникам следить за пользователями Windows, похищать пароли и подменять криптовалютные адреса в буфере обмена. Вредоносная программа также даёт операторам полный контроль над заражённым компьютером. Среди необычных функций KGB RAT — демонстрация пугающих изображений, воспроизведение громких звуков через колонки и принудительный вызов поддельного синего экрана смерти по команде злоумышленника. Разработчики трояна относят эти возможности к «развлекательным настройкам».

WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta)