uCreator is de naam van een Android-spyware-kit die criminelen kunnen huren om Telegram- en WeChat-accounts over te nemen. Beveiligingsonderzoeker Ovi ontdekte de malware en publiceerde zijn analyse op 21 oktober. De kit, die intern YingGai heet, verstopt zich in aangepaste, getrojaniseerde kopieën van de twee apps en draait daarbij met dezelfde identiteit en rechten als de originele app.
Slachtoffers installeren de malware altijd buiten de officiële appstores om, via sideloading of social engineering. Ovi vond onder meer een container-app genaamd 洋葱盒子 (“Onion Box”). Antivirusbedrijf Doctor Web ontdekte in 2024 en 2025 losse varianten, Baohuo genaamd, die via advertenties naar nepwinkelsites werden verspreid, waarbij de getrojaniseerde app Telegram X werd aangeprezen als dating- en videochatapp. Baohuo-versies stonden ook op downloadplatforms als APKPure, ApkSum en AndroidP.
Bij Telegram richt de malware zich specifiek op het tweestapsverificatie-wachtwoord. Normaal hasht de app dat wachtwoord voordat het wordt opgeslagen, maar de kit onderschept die stap en kopieert het wachtwoord in leesbare vorm vóór het hashen. Met dat wachtwoord kan een aanvaller sessies van het slachtoffer beëindigen, het telefoonnummer wijzigen of het account verwijderen, en daarbij de eigen sessie verbergen in de lijst met ingelogde apparaten. Volgens Doctor Web stuurt Baohuo het telefoonnummer, de naam en het wachtwoord van het slachtoffer elke drie minuten naar een server van de aanvaller.
Bij WeChat werkt de kit anders: de onaangepaste app draait in een eigen container, waarna de inloggegevens worden gekopieerd en de appdata naar een server wordt geüpload. Een los inlogscript kan het account vervolgens klonen op een ander apparaat. Ovi en onderzoeker Jurre vonden samen een gelekte backend op een zelf gehoste GitLab-server, met een cloudconsole die kennelijk aan handelaren wordt verhuurd. Een geautomatiseerde planner simuleert daarbij menselijk gedrag om detectie te omzeilen.
De broncode ondersteunt naar schatting twintig apps, maar alleen de modules voor Telegram en WeChat zijn tot nu toe aangetroffen. Ovi koppelt delen van de operatie aan drie bedrijven in de Chinese provincie Hunan, al noemt hij gedeeld eigenaarschap nog onbewezen. Vermoedelijke doelwitten zijn gebruikers van mobiele portemonnees en chatapps in China en Zuidoost-Azië, al is dat niet bevestigd.
Voor Nederlandse gebruikers is het risico vooral relevant bij het installeren van apps buiten Google Play om, bijvoorbeeld via een link in een advertentie of een downloadsite van derden. Installeer Telegram en WeChat alleen via de officiële appstore, en wees extra wantrouwig bij apps die zichzelf aanprijzen als alternatieve of “verbeterde” versie van een bekende chatapp.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.