Spyware uCreator para Android rouba senha de duas etapas do Telegram

Um spyware para Android chamado uCreator pode roubar a senha da verificação em duas etapas do Telegram e dar a criminosos o controle da conta da vítima. O programa também tem recursos para clonar contas do WeChat. A descoberta foi detalhada pelo pesquisador de segurança Ovi em uma análise publicada em 21 de outubro e repercutida nesta segunda-feira (26) pelo portal The Hacker News, citado pelo Canaltech e pelo UOL.

Segundo a investigação, o uCreator funciona como uma plataforma de espionagem oferecida a terceiros. Quem o contrata pode usar as ferramentas para monitorar aplicativos, extrair dados e controlar contas de forma remota. A distribuição ocorre principalmente por arquivos APK, o formato usado para instalar aplicativos manualmente no Android, fora das lojas oficiais. Os criminosos modificam versões de programas legítimos para esconder o código malicioso, e o UOL acrescenta que a engenharia social também faz parte da estratégia de disseminação.

Como o ataque funciona

Quando a vítima abre o Telegram adulterado, o código malicioso passa a operar com as mesmas permissões do aplicativo em que ela já está conectada. De acordo com Ovi, a senha da verificação em duas etapas, uma camada extra de proteção oferecida pelo Telegram, é interceptada em texto puro, no momento da digitação e antes de ser protegida pelo app.

Com essa senha, os invasores podem consultar o histórico de conversas, trocar o número de telefone vinculado, encerrar sessões e até excluir a conta. O código ainda esconde a sessão do invasor da lista de dispositivos conectados exibida à vítima, o que dificulta perceber o ataque.

No WeChat, a técnica é diferente. O spyware usa um ambiente virtual, chamado Onion Box, para executar o aplicativo original dentro de si. A partir daí, copia as informações de autenticação e os dados necessários para clonar a conta. O UOL descreve o Onion Box como um aplicativo-contêiner, que roda outros apps dentro dele.

Os pesquisadores ressaltam que essas são capacidades identificadas no código e que não se sabe quantas pessoas foram de fato afetadas. Em testes com um Pixel 10 Pro com Android 17, segundo o UOL, o mecanismo atual do kit encontrou dificuldades por causa de mudanças internas do sistema. Ovi afirma que isso obriga os responsáveis a se adaptarem, mas não prova que a versão do Android bloqueie o ataque por completo.

Ligação com o Baohuo e recomendações

A análise encontrou semelhanças entre o uCreator e o Baohuo, um malware detectado em cópias falsas do Telegram X. Em outubro de 2025, a empresa de cibersegurança Doctor Web informou que o Baohuo havia infectado mais de 58 mil dispositivos Android. O Brasil concentrava 20,5% dos aparelhos identificados, enquanto a Índia liderava, com 22,8%, segundo o Canaltech. Na época, sites falsos apresentavam o Telegram X como aplicativo de namoro e chamadas de vídeo, com anúncios em português. Ainda não está confirmado se os responsáveis pelo uCreator participaram daquela campanha.

Ovi também encontrou uma plataforma de controle que permite a comerciantes e revendedores alugar o kit para operar contas. O produto, chamado YingGai por seus criadores, aparece em registros desde setembro de 2021, e as amostras analisadas vão de 2024 a julho de 2026, segundo o UOL.

A principal recomendação das duas fontes é evitar versões modificadas do Telegram e de outros aplicativos, sobretudo as oferecidas por links desconhecidos ou por sites que imitam lojas oficiais. O Canaltech orienta manter o Google Play Protect ativado e afirma que a ferramenta verifica apps instalados, inclusive os obtidos fora da Play Store, mas sem garantia de detectar todas as ameaças. Já o UOL diz que a análise do Play Protect ocorre na loja oficial e que, fora dela, o usuário perde essa proteção.