Komunikatory na celowniku. Odkryto rozbudowaną platformę szpiegowską

Zagrożenie dotyczy przede wszystkim użytkowników komunikatorów i mobilnych portfeli. Wśród aplikacji, które mogą być celem uCreator, znalazły się m.in. Telegram, WeChat, WhatsApp, LINE, Viber oraz GCash. Łącznie badacz zidentyfikował kod umożliwiający atakowanie około 20 aplikacji działających w Chinach i Azji Południowo-Wschodniej.

W tym raporcie istotne jest jedno rozróżnienie: jest to analiza możliwości technicznych, a nie pomiar wpływu na ofiary. Lista celów pokazuje, do czego platforma została stworzona, a nie ile osób zostało zainfekowanych.
Publikacja Ovi

Przestępcy wykorzystują przerobione wersje popularnych programów, które z pozoru działają prawidłowo. Użytkownik może więc normalnie korzystać z komunikatora, nie wiedząc, że w tle są uruchomione dodatkowe funkcje umożliwiające kradzież informacji.

Do infekcji może dojść w wyniku zastosowania metod socjotechniki i pobrania aplikacji z nieoficjalnej strony lub zainstalowaniu pliku przesłanego przez oszustów. W przypadku WeChat możliwe jest też wykorzystanie aplikacji pośredniczącej o nazwie Onion Box, która pozwala na uruchomienie komunikatora w kontrolowanym środowisku.

Najgroźniejszą cechą uCreator jest możliwość uzyskania dostępu do informacji bezpośrednio z działającej aplikacji. Przestępcy nie muszą łamać jej zabezpieczeń ani znać hasła do odblokowania telefonu – złośliwe oprogramowanie korzysta z danych, do których zalogowany komunikator ma już dostęp.

Kradzież haseł i ukrywanie nieautoryzowanego dostępu

Analiza kodu wykazała, że moduł atakujący Telegram potrafi odczytywać historię rozmów, zbierać kontakty i przechwytywać hasło dodatkowego zabezpieczenia konta (weryfikacji dwuetapowej). Oprogramowanie zawiera również funkcje pozwalające zarządzać aktywnymi sesjami. Niektóre z nich umożliwiają też ograniczenie prawowitemu użytkownikowi dostępu do konta.

W przypadku WeChat mechanizm działa nieco inaczej. Narzędzie może kopiować dane potrzebne do odtworzenia konta w innym środowisku. Wśród pozostałych możliwości platformy badacz wymienił przechwytywanie jednorazowych kodów SMS i manipulowanie obrazem z kamery w celu obchodzenia procedur weryfikacji tożsamości.

Ovi zaznacza jednak, że obecność takich funkcji w kodzie nie oznacza, że wszystkie zostały wykorzystane podczas rzeczywistych ataków.

System do zarządzania atakami

W trakcie śledztwa Ovi i drugi badacz, Jurre, natrafili na niewłaściwie zabezpieczony serwer GitLab. Znajdował się na nim kod źródłowy systemu służącego do zarządzania częścią operacji uCreator.

Odkryte materiały pokazały, że platforma została przygotowana do obsługi wielu klientów. Za pomocą internetowego panelu mogli oni zarządzać urządzeniami, pozyskiwać dane z kont i automatyzować działania w komunikatorach.

System wyposażono w mechanizmy mające upodabniać aktywność zainfekowanych kont do zachowania zwykłych użytkowników. Ograniczał on liczbę wykonywanych operacji i rozkładał je w czasie, aby zmniejszyć ryzyko wykrycia przez zabezpieczenia serwisów.

Historia zmian w ujawnionych repozytoriach wskazywała na udział około 30–40 programistów. Część prac nad oprogramowaniem trwała jeszcze w październiku 2026 roku.

Ślady prowadzą do Chin

Ustalenia badacza wskazują na powiązania infrastruktury uCreator z trzema firmami działającymi w chińskiej prowincji Hunan (Hunan Youchuang Technology, Changsha Sukai Network, Changsha Zhuoqing E-commerce). Nie udało się jednak potwierdzić, że przedsiębiorstwa te mają wspólnego właściciela lub wspólnie prowadzą operację.

Powiązania te łączą odrębne tożsamości korporacyjne z różnymi komponentami ekosystemu. Wspólny beneficjent rzeczywisty lub skoordynowana struktura korporacyjna są prawdopodobne, ale nie zostały udowodnione w dotychczas zbadanych dowodach rejestrowych.
Publikacja Ovi

Sama platforma również nie jest nowa. Historia niektórych powiązanych z nią narzędzi sięga 2014 roku, natomiast informacje o produkcie YingGai pojawiają się co najmniej od 2021 roku. Analizowane próbki złośliwego oprogramowania pochodziły z lat 2024–2026.

Badacz uzyskał też dostęp do serwera zawierającego dane wskazujące na osoby zaatakowane m.in. w Chinach i Stanach Zjednoczonych. Nie pozwoliło to jednak wiarygodnie określić liczby ofiar ani rzeczywistego zasięgu całej operacji.

Zagrożenie dla tysięcy urządzeń

Dodatkowego kontekstu dostarcza firma Doctor Web, która w październiku 2025 roku opisała złośliwe oprogramowanie Baohuo, rozpowszechniane w zmodyfikowanych wersjach Telegram X. Według ustaleń przytoczonych przez The Hacker News oba zagrożenia mają wspólne elementy kodu i infrastruktury.

Doctor Web szacował wówczas liczbę zainfekowanych urządzeń na ponad 58 tysięcy. Nie oznacza to jednak, że tyle samo ofiar można przypisać całej platformie uCreator.

Badania pokazały też, że nowsze wersje Androida utrudniają działanie niektórych modułów tego narzędzia. Nie jest to jednak równoznaczne z całkowitym wyeliminowaniem zagrożenia.

Najważniejszą ochroną pozostaje instalowanie komunikatorów wyłącznie z oficjalnych, zaufanych źródeł. Warto również regularnie sprawdzać listę urządzeń zalogowanych na konta i usuwać nieznane sesje. Sama aktywacja weryfikacji dwuetapowej może nie wystarczyć, jeśli użytkownik korzysta ze zmodyfikowanej aplikacji przechwytującej wpisywane dane.