Nova plataforma maliciosa rouba dados do Telegram e clona contas

Uma nova plataforma de espionagem para celulares Android, batizada de “uCreator”, foi descoberta infectando aplicativos populares como Telegram e WeChat para roubar contas, ler mensagens e interceptar senhas. O aplicativo adulterado executa código malicioso de forma oculta e assume a identidade do programa original no aparelho. O pesquisador de segurança conhecido como Ovi revelou os detalhes da ameaça em um relatório publicado na terça-feira (21).

O sistema opera como uma espécie de serviço alugado por criminosos. Os golpistas comercializam o acesso à plataforma para que terceiros possam infectar e monitorar alvos específicos. A ferramenta busca interceptar códigos de verificação e acessar carteiras digitais, conforme apontou a análise técnica.

A infecção ocorre principalmente fora das lojas oficiais. Os usuários baixam arquivos modificados do Telegram X e do WeChat em páginas falsas ou por meio de engenharia social. Outro vetor de contágio é o aplicativo de contêiner “Onion Box”, que simula um “celular virtual” para espionar ações sem alterar a plataforma original, desenvolvido pelos criadores do sistema. O programa funciona como um ambiente virtual e executa outras ferramentas no interior para extrair dados sem levantar suspeitas.

Como o golpe afeta o Telegram e o WeChat

No caso do Telegram, a ferramenta maliciosa inicia as atividades simultaneamente ao aplicativo. O sistema intercepta a senha de verificação em duas etapas no momento exato em que o usuário digita o código na tela, antes mesmo do envio ao servidor oficial. Dessa forma, os cibercriminosos conseguem alterar o número de telefone vinculado, encerrar sessões ativas e “trancar” o dono original fora da conta.

A invasão ao WeChat emprega a técnica de virtualização de plataformas para clonar a conta inteira do usuário. Basicamente, o programa copia a identidade de login, compacta os dados do aplicativo e transmite todas as informações para servidores externos.

O pesquisador de segurança Pierluigi Paganini analisou a estrutura do ataque e destacou o caráter comercial da ameaça. “O uCreator é notável porque transforma essas técnicas em um produto gerenciado remotamente e reutilizável”, declarou, em entrevista ao portal Security Affairs.

As equipes do Telegram e do WeChat não se manifestaram publicamente sobre o relatório até a publicação desta matéria.

Servidores na China e histórico da ameaça

A revelação da estrutura do uCreator aconteceu após a localização de um servidor GitLab sem proteção de senha. Ovi e o pesquisador Jurre acessaram o código-fonte da plataforma de controle, expondo detalhes sobre o funcionamento interno do negócio. O painel administrativo permite que os compradores gerenciem os aparelhos infectados, agendem envios de mensagens automáticas e programem ações que simulam o comportamento humano para burlar travas de segurança.

O histórico do servidor indicou a atuação de aproximadamente 30 desenvolvedores ativos na China. Registros de código associaram o desenvolvimento da ferramenta a uma empresa de software localizada em Changsha. Documentos de registro na internet vinculam a infraestrutura do sistema a três empresas da província de Hunan, embora a relação direta de propriedade entre elas permaneça sob investigação.

O software opera desde setembro de 2021 sob o nome YingGai. Amostras coletadas pelos pesquisadores mostram atualizações constantes desenvolvidas entre 2024 e 2026. Em testes realizados em um Pixel 10 Pro com o sistema Android 17, o motor de interceptação do uCreator falhou devido a mudanças internas no código do sistema operacional. O problema exige que os criadores atualizem o programa para afetar as versões mais recentes do Android, mas versões anteriores do sistema continuam vulneráveis.

Versão anterior focada no Brasil

O componente do uCreator focado no Telegram possui a mesma estrutura de um código identificado em outubro do ano passado pela empresa de cibersegurança Doctor Web. Na época, a companhia russa denominou a ameaça de “Baohuo” após detectar a presença do código em cópias adulteradas do Telegram X. O relatório apontou que mais de 58 mil dispositivos acabaram infectados por essa versão.

A disseminação do Baohuo começou em meados de 2024 através de anúncios em outros aplicativos. As propagandas direcionavam o usuário para lojas falsas que prometiam versões do Telegram X focadas em relacionamentos e vídeos. Os banners do golpe estavam em português, direcionados a usuários no Brasil, e em indonésio. Apesar do foco inicial no público brasileiro, a Índia liderou o número de infecções na época, com 22,8% dos casos, seguida pelo Brasil, com 20,5%.

Os especialistas identificaram dois sinais principais que ajudam a reconhecer um celular infectado: a presença do arquivo oculto “TgJarPine.dex” no Telegram modificado e um rastro deixado pela ferramenta usada pelos criminosos para alterar os aplicativos, que salva uma cópia oculta do programa original na pasta temporária do dispositivo.