uCreator transforma aplicativos Android alterados em ferramenta de sequestro de contas

Aviatrix contabilizou mais de 58 mil infecções e identificou a operação ativa desde 2024, com coleta de credenciais e dados de outros aplicativos.

Uma ferramenta de espionagem para Android chamada uCreator está sendo distribuída escondida em versões adulteradas de aplicativos populares, segundo uma análise divulgada em 26 de outubro. O software pode capturar senhas da verificação em duas etapas do Telegram e copiar dados de contas do WeChat; os pesquisadores também registraram mais de 58 mil infecções associadas à operação.

O risco está ligado sobretudo à instalação de aplicativos fora dos canais oficiais. Em vez de explorar automaticamente qualquer celular, o esquema depende, em geral, de que a vítima baixe e use uma cópia modificada ou um aplicativo-contêiner que abriga o código malicioso.

Um spyware oferecido como serviço

O uCreator é descrito como uma ferramenta comercializada para uso criminoso, em um modelo no qual operadores podem alugar ou utilizar o programa para espionar dispositivos. A campanha teria começado em meados de 2024 e continuava ativa ao menos até julho de 2026, conforme a investigação técnica publicada neste mês.

Entre as formas de distribuição identificadas estão versões modificadas do Telegram X e do WeChat, além de um contêiner chamado Onion Box. Como essas cópias podem parecer funcionais, a vítima pode não perceber que instalou um programa que, além do serviço esperado, coleta informações em segundo plano.

Como o Telegram pode ser comprometido

No caso do Telegram, o código malicioso monitora o aplicativo e intercepta a senha adicional usada na verificação em duas etapas quando a pessoa a digita. A captura ocorre antes que a credencial seja protegida pelo procedimento normal do aplicativo, de acordo com os pesquisadores.

O acesso obtido pode permitir que criminosos assumam a conta, encerrem sessões ativas e tentem alterar dados associados a ela, como o número de telefone. A ferramenta também é capaz de extrair informações de sessões e conversas. Isso amplia o impacto para além da perda temporária de acesso: mensagens privadas e a identidade digital da vítima podem ser usadas em fraudes ou para abordar seus contatos.

WeChat e outros dados na mira

Para o WeChat, a análise descreve uma técnica de clonagem que copia informações da conta e as envia aos operadores. O kit também teria capacidade de coletar dados de cerca de 20 aplicativos, incluindo mensageiros e serviços de pagamento digital. Entre os nomes citados estão WhatsApp, LINE, Viber, Zalo, QQ, GCash e MoMo.

A pesquisa contabiliza mais de 58 mil infecções confirmadas, mas esse total não equivale necessariamente a 58 mil contas sequestradas ou vítimas únicas. Os dados divulgados não detalham quantas contas foram efetivamente tomadas, o volume de informações roubadas nem a distribuição completa dos dispositivos afetados.

O que usuários podem fazer

A medida mais direta é instalar aplicativos apenas por lojas e páginas oficiais, evitando APKs de origem desconhecida, versões “premium” não autorizadas e clientes modificados. Quem suspeitar de comprometimento deve remover o aplicativo suspeito e, usando um aparelho confiável, encerrar sessões abertas, trocar credenciais e revisar telefone, e-mail de recuperação e dispositivos conectados.

A Aviatrix atribui a operação a operadores ligados a três empresas da província chinesa de Hunan. Trata-se de uma conclusão de pesquisadores, não de uma confirmação judicial ou de um anúncio oficial de autoridades. Para o usuário, a principal lição é prática: um aplicativo que parece legítimo pode servir de disfarce, e baixar versões paralelas pode entregar aos criminosos acesso a mais do que uma senha.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: