Um conjunto de spyware para Android oferecido para aluguel, chamado uCreator, pode assumir o controle de contas do Telegram e do WeChat ao ocultar seu código em cópias funcionais dos dois aplicativos, segundo uma análise do pesquisador Ovi. A ameaça só alcança quem instala uma dessas cópias adulteradas, distribuídas fora das lojas oficiais, ou executa o WeChat dentro do aplicativo contêiner criado pelos próprios operadores do conjunto.
A versão do conjunto voltada ao Telegram é semelhante ao Baohuo, uma backdoor identificada pela Doctor Web em outubro de 2025. Na ocasião, a empresa encontrou o Baohuo em cópias adulteradas do Telegram X, um aplicativo do Telegram para Android, e estimou que mais de 58 mil dispositivos haviam sido infectados.
O The Hacker News comparou os dois relatos. A descrição técnica do Baohuo publicada pela Doctor Web aponta o mesmo espaço de nomes de código, com.ucreator.tgjar, o mesmo servidor de comando e controle (C2) e nomes de comandos correspondentes aos identificados na análise de Ovi.
Publicada em 21 de outubro de 2026, a análise de Ovi não menciona as descobertas da Doctor Web, que, por sua vez, não identificou o conjunto pelo nome. Não está claro se os criadores da ferramenta ou algum cliente conduziram a campanha acompanhada pela Doctor Web.
Quem está exposto
Segundo Ovi, as cópias adulteradas são distribuídas por instalação direta, quando a pessoa instala o arquivo do aplicativo sem recorrer a uma loja, e por engenharia social. O pesquisador não conseguiu confirmar como cada vítima foi infectada.
Outra forma de acesso é o aplicativo contêiner dos operadores, chamado 洋葱盒子 (“Onion Box”), que executa outros aplicativos dentro de si.
Algumas cópias adulteradas do Telegram X usam o mesmo nome de pacote do aplicativo legítimo disponível no Google Play. Por isso, o nome, por si só, não permite identificá-las.
A Doctor Web constatou que cópias do Baohuo eram distribuídas desde meados de 2024 por meio de anúncios exibidos em aplicativos, que levavam a páginas falsas de lojas. Essas páginas divulgavam o Telegram X como um aplicativo de encontros e bate-papo por vídeo.
Os banners dessas páginas estavam disponíveis apenas em português, para usuários no Brasil, e em indonésio. Ainda assim, no mapa de dispositivos infectados por país publicado pela Doctor Web em 2025, a Índia aparecia em primeiro lugar, com 22,8%, à frente do Brasil, com 20,5%, e da Indonésia, com 9,6%.
Cópias do Baohuo também foram encontradas nas lojas de terceiros APKPure, ApkSum e AndroidP. No APKPure, uma delas aparecia em nome do desenvolvedor oficial, embora tivesse uma assinatura digital diferente.
Ovi obteve acesso a um dos servidores de comando do conjunto. O servidor armazenava dados de vítimas aparentemente localizadas na China e nos Estados Unidos, mas as informações eram insuficientes para uma contagem confiável. O pesquisador descreve seu relatório como “uma análise de capacidade técnica, não uma medição do impacto sobre as vítimas”.
Os alvos aparentes, ainda não confirmados, são usuários de carteiras digitais e aplicativos de mensagens na China e no Sudeste Asiático. Entre eles estão WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash e MoMo. Ovi encontrou código compatível com cerca de 20 aplicativos, mas publicou detalhes apenas sobre o Telegram e o WeChat.
O mecanismo de interceptação do conjunto permite que o código intercepte funções dos aplicativos. Ovi testou esse componente em um Pixel 10 Pro com Android 17. O mecanismo não conseguiu localizar uma função interna do Android de que depende, porque versões mais recentes do sistema operacional modificaram essa função.
Outra ferramenta, Frida, ainda conseguiu interceptar aplicativos da mesma forma nesse aparelho. Por isso, Ovi descreve a mudança como um obstáculo adicional para os operadores do conjunto, e não como prova de que o Android 17 bloqueia o ataque.
A amostra mais recente, datada de 29 de julho de 2026, ainda continha o mecanismo antigo. O pesquisador recuperou amostras criadas para o Android 16, mas não informou se testou essa versão. Ele também não testou aparelhos de fabricantes chineses.
Como o conjunto assume o controle de uma conta do Telegram
Dentro de um aplicativo adulterado do Telegram, o código do conjunto é iniciado junto com o aplicativo e funciona com a identidade e as permissões dele, segundo Ovi. Isso lhe dá o mesmo nível de acesso concedido ao aplicativo autenticado.
Cada aplicativo adulterado também executa um servidor de comando local. O código destinado a cada aplicativo-alvo é baixado após a instalação, o que dificulta a análise do arquivo instalador isoladamente.
Os operadores podem enviar qualquer consulta ao banco de dados de mensagens do aplicativo e obter históricos de conversas.
A senha da verificação em duas etapas (2FA) do Telegram é inserida no aplicativo, que a utiliza para gerar uma prova de login no próprio celular. O conjunto intercepta esse processo e copia a senha em texto legível antes que o aplicativo gere seu hash.
Com a senha, o código pode encerrar as sessões ativas da conta, alterar o número de telefone vinculado ou excluir a conta. Outros componentes foram projetados para bloquear o acesso do proprietário e manter ativa a sessão do invasor.
O código também pode ocultar a sessão do invasor da lista de dispositivos exibida pelo aplicativo adulterado.
A descrição do Baohuo feita pela Doctor Web também menciona esse recurso de ocultação. A backdoor ainda envia ao servidor, a cada três minutos, o número de telefone, o nome e a senha da conta.
Nem Ovi nem a Doctor Web informam se uma sessão oculta continua aparecendo em outros aplicativos legítimos do Telegram usados pela vítima. Nenhum dos dois apresenta instruções para proteger uma conta comprometida dessa forma.
Ovi ressalta que o código demonstra o que o conjunto é capaz de fazer, mas não comprova que os invasores tenham executado todas as etapas do ataque na prática.
Outros malwares para Android também já executaram aplicativos legítimos com código de invasores embutido. Em 2023, o FjordPhantom fez isso com aplicativos bancários por meio de virtualização. O trojan bancário GodFather adotou uma abordagem semelhante em 2025.
Ovi afirma que o conjunto se diferencia por ser vendido como um produto. Os clientes podem controlá-lo remotamente para atacar qualquer aplicativo para o qual os criadores desenvolvam um módulo.
O componente do WeChat e o sistema de retaguarda exposto
No caso do WeChat, o conjunto também pode recorrer à virtualização de aplicativos, executando o aplicativo original, sem modificações, dentro de seu próprio contêiner, segundo Ovi. Um comando copia a identidade de login da conta. Em seguida, os dados do aplicativo são compactados em um arquivo e enviados para fora, enquanto um script de login incluído no conjunto é usado para clonar a conta.
Esse componente tem como alvo a própria conta, não o histórico de conversas.
Ovi e outro pesquisador, Jurre, também encontraram o código do sistema de retaguarda do conjunto em um servidor GitLab hospedado pelos próprios operadores. Essa era a única parte da estrutura que não estava restrita a endereços IP autorizados.
O código revela um console na nuvem alugado por comerciantes e revendedores. Cada comando inclui o identificador do cliente, permitindo que cada um direcione sua parte da frota de celulares contra as vítimas que escolher.
Os comandos são enviados aos celulares usados na operação, que formam um conjunto de aparelhos controlados pelos operadores, e aos celulares das vítimas. Neles, o conjunto captura autorizações de login, adiciona amigos em massa, coleta dados de contatos e perfis e faz cópias de segurança de contas inteiras.
Um agendador define períodos de atividade, limites diários aleatórios e orçamentos por conta. O objetivo é fazer com que as ações pareçam humanas e evitar os sistemas de verificação de risco das plataformas. O código chama essa atividade de “cultivo de contas”, segundo a tradução de Ovi.
O histórico do código indica que cerca de três dezenas de desenvolvedores trabalharam no projeto, todos no fuso horário da China. Alguns ainda faziam alterações em outubro de 2026.
O sistema de retaguarda exposto abrange contas pessoais do WeChat e do WeCom. Segundo Ovi, ele aparentemente não inclui o Telegram, e apenas um dos vários servidores GitLab ficou exposto.
Quem está por trás do conjunto
Ovi relaciona partes da operação a três empresas da província de Hunan, na China. Uma delas está ligada ao site da marca do conjunto e a um certificado de servidor. Outra aparece em um registro de site governamental associado a um servidor de comando. A terceira está vinculada à assinatura do programa de controle do conjunto para Windows.
O pesquisador afirma que a possibilidade de haver um proprietário em comum é “plausível, mas ainda não foi comprovada”.
O nome usado pelos próprios criadores para o produto é YingGai. Registros indicam que essa linha de produtos existe desde setembro de 2021. As amostras analisadas por Ovi datam do período entre 2024 e julho de 2026.
Ovi presume que o conjunto seja usado em crimes com motivação financeira, devido ao foco em carteiras digitais e códigos de uso único. A Doctor Web descreveu o Baohuo como “uma ferramenta para aumentar o número de inscritos em canais do Telegram”.
Indicadores de comprometimento
O conjunto deixa dois rastros que Ovi considera confiáveis. Um deles é o arquivo de código TgJarPine.dex, presente nos arquivos de recursos de algumas cópias adulteradas do Telegram. O outro é a cópia original do aplicativo, que a ferramenta de modificação de APK LSPatch deixa no caminho cache/lspatch/origin/*.apk.
Como esse segundo rastro é criado pelo próprio LSPatch, ele também pode aparecer em aplicativos modificados com a ferramenta por outros motivos.
Ao verificar registros DNS em 23 de outubro de 2026, o The Hacker News constatou que vários domínios usados pelos servidores e pelos downloads do conjunto já não eram resolvidos. O domínio do servidor de envio de versões ainda apontava para 121.37.194[.]194.
Entre os indicadores do conjunto estão:
- SHA-256: 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, framework e manipuladores de comandos)
- SHA-256: 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, loader)
- SHA-256: dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (org.thunderdog.challegram, cópia adulterada do Telegram X, novembro de 2024)
- SHA-256: 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (org.telegram.messenger.web, cópia adulterada do Telegram, julho de 2024)
- SHA-256: a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 (org.thunderdog.challegram, cópia adulterada do Telegram X)
- SHA-256: f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx, contêiner do WeChat)
- SHA-256: 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (com.ucreator.va_yjb_client, Onion Box)
- SHA-256: 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe, programa de controle para Windows)
- Domínio: hpncallback.gold5play[.]com (servidor de comando, não era resolvido em 23 de outubro)
- Domínio: hpncallback.qianxunlbs[.]com (servidor de comando, não era resolvido em 23 de outubro)
- Domínio: telegram-apk.uzyzx[.]com (servidor de downloads, não era resolvido em 23 de outubro)
- Domínio: hw.android.videoflow[.]cn (envio de versões, apontava para 121.37.194[.]194 em 23 de outubro)
- IP: 159.138.237[.]10:32115 (servidor Redis)
- IP: 159.138.229[.]12:26379 (servidor Redis)
- Domínio: r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 (servidor Redis, componente do WeChat)
- IP: 43.225.141[.]209 (intermediário usado pelo componente do Telegram)
- URL: kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ (endereço para baixar componentes de interceptação)
A Doctor Web também publicou seus próprios indicadores relacionados ao Baohuo.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...