Uma nova plataforma de espionagem chamada “uCreator” está infectando aplicativos populares como Telegram e WeChat, com o objetivo de roubar contas, ler mensagens e interceptar senhas. Detalhes sobre essa ameaça foram revelados pelo pesquisador de segurança Ovi em um relatório divulgado na terça-feira (21).
O sistema funciona como um serviço à disposição de criminosos, que vendem acesso à plataforma para monitorar vítimas específicas. A ferramenta busca interceptar códigos de verificação e acessar carteiras digitais, conforme a análise técnica realizada.
A infecção geralmente ocorre fora das lojas oficiais, com usuários baixando versões adulteradas do Telegram X ou WeChat de sites fraudulentos ou através de engenharia social. Um dos métodos de contágio é o aplicativo “Onion Box”, que simula um “celular virtual”, permitindo que os espiões monitorem atividades sem alterar a plataforma original.
No caso do Telegram, a ferramenta maliciosa ativa suas funções assim que o aplicativo é aberto. Ela intercepta a senha de verificação em duas etapas no momento em que o usuário a digita, antes de ser enviada ao servidor oficial. Isso permite que os cibercriminosos mudem o número vinculado à conta e desconectem o usuário original.
Quanto ao WeChat, a invasão utiliza a virtualização para clonar completamente a conta do usuário, copiando dados de login e enviando as informações para servidores externos. O painel de um servidor exposto revelou dezenas de projetos e códigos em chinês relacionados ao desenvolvimento da plataforma uCreator.
O pesquisador Pierluigi Paganini destacou que o uCreator se destaca por transformar técnicas de espionagem em um produto gerenciado remotamente. As equipes do Telegram e do WeChat ainda não comentaram sobre o relatório.
A investigação do uCreator começou após a descoberta de um servidor GitLab desprotegido. Ovi e outro pesquisador acessaram o código-fonte da plataforma, revelando informações sobre sua estrutura interna. O painel administrativo permite que os compradores gerenciem dispositivos infectados e programem ações para contornar medidas de segurança.
Cerca de 30 desenvolvedores na China estão associados à criação do uCreator, que opera desde setembro de 2021 sob o nome YingGai. Amostras analisadas indicam que atualizações contínuas estão em andamento até 2026. Testes em dispositivos mais novos mostraram falhas na interceptação, sugerindo que o software precisa ser atualizado para ser eficaz nas últimas versões do Android.
Além disso, o uCreator foi identificado anteriormente sob o nome “Baohuo”, quando a empresa de cibersegurança Doctor Web detectou uma versão do código em cópias adulteradas do Telegram X. Na ocasião, mais de 58 mil dispositivos foram infectados.
Os pesquisadores identificaram dois sinais principais para detectar a infecção: a presença do arquivo oculto “TgJarPine.dex” e um rastro deixado pela ferramenta que altera os aplicativos, que salva uma cópia do programa original na pasta temporária do dispositivo.
Fonte: www.estadao.com.br