Spyware Steals Verification Password in Two Steps From Telegram

O spyware uCreator para Android pode roubar senhas do login em duas etapas (2FA) do Telegram e clonar contas do WeChat, informou o The Hacker News.

Como o uCreator funciona

Distribuído fora das lojas oficiais, o kit chega às vítimas por meio de arquivos instalados diretamente no celular (APKs) e por engenharia social. O pesquisador Ovi também identificou um aplicativo-contêiner chamado Onion Box, (uma espécie de software empacotado junto com bibliotecas, ferramentas de sistema, arquivos de configuração e outras dependências necessárias para funcionar em qualquer ambiente), que executa outros apps dentro dele.

Versões adulteradas do Telegram executam o código malicioso com as mesmas permissões do aplicativo em que o usuário entrou. Ovi afirma que o ataque intercepta a senha da verificação em duas etapas em texto puro antes que seja protegida pelo aplicativo oficial.

O código permite consultar o histórico de conversas e assumir o controle de uma conta do Telegram. Com a senha, invasores podem encerrar sessões, mudar o número vinculado ou excluir a conta, além de ocultar a própria sessão na lista exibida à vítima.

No WeChat, o uCreator usa virtualização para executar o aplicativo original em seu próprio ambiente. O kit copia a identificação de acesso, compacta os dados da conta e usa um script para cloná-la totalmente.

Testes em um Pixel 10 Pro com Android 17 mostraram que o mecanismo atual do kit enfrenta mudanças internas do sistema. Ovi ressalta que isso exige adaptação dos responsáveis pelo kit, mas não prova que a versão do Android bloqueie o ataque por completo.

Brasil entre os países afetados pelo Baohuo

Parte do código do uCreator coincide com o do Baohuo, uma porta dos fundos encontrada em cópias adulteradas do Telegram X. A empresa de cibersegurança Doctor Web estimou, em outubro de 2025, que mais de 58 mil dispositivos haviam sido infectados.

Sites falsos promoviam o Telegram X como aplicativo de namoro e chamadas de vídeo para atrair instalações. A Doctor Web identificou anúncios em português voltados ao Brasil e em indonésio, enquanto o país concentrou 20,5% dos aparelhos infectados no mapa da empresa.

Ovi encontrou ainda uma plataforma de controle que permite a comerciantes e revendedores alugar o kit para operar contas. O produto, chamado YingGai por seus criadores, aparece em registros desde setembro de 2021, e as amostras analisadas vão de 2024 a julho de 2026.

Evite baixar versões modificadas de apps

Baixar aplicativos apenas na Google Play Store, no Android, é a principal defesa para proteger o celular. Instalar arquivos APK (pacotes de instalação fora da loja) expõe o celular a vírus e roubo de dados pessoais e bancários.

A Google Play Store usa a verificação do Play Protect (sistema nativo de segurança) para analisar cada programa. A ferramenta varre o arquivo antes do download e bloqueia ameaças de forma automática. Fora da loja oficial, o usuário perde essa proteção e fica exposto a invasões de contas.