В изменённых Telegram, WeChat и GCash для Android нашли платформу для слежки uCreator

Платформа uCreator (также известна как YingGai) представляет собой готовый инструмент для слежки за владельцами Android-устройств и управления их приложениями. Её ключевая особенность — возможность перехватывать содержимое мессенджеров, коды двухфакторной аутентификации и учётные данные аккаунтов, не требуя при этом получения root-прав на устройстве жертвы.

Исследователь Ovi выявил два основных сценария проникновения. Первый — распространение изменённых сборок Telegram, WeChat и GCash, которые пользователи скачивают из сторонних источников в виде APK-файлов. Второй — использование контейнера Onion Box, внутри которого запускается скомпрометированное приложение. После установки вредоносный код способен догружать дополнительные модули, расширяя свой функционал.

В случае с Telegram платформа обращается к открытой базе сообщений через программные интерфейсы самого клиента. Она умеет перехватывать пароль двухэтапной проверки и скрывать собственную активную сессию от владельца аккаунта. Мобильные компоненты связаны с серверной инфраструктурой, включающей облачную панель управления для разных клиентов. Число пострадавших на данный момент неизвестно. Часть серверного кода и история разработки стали известны благодаря открытому GitLab-репозиторию.

Как коммерческая слежка через Android угрожает российским компаниям

Подобные платформы опасны не столько для частных лиц, сколько для организаций, где сотрудники используют личные устройства для доступа к корпоративным чатам и каналам в Telegram. Установка модифицированного клиента из стороннего магазина приложений способна скомпрометировать служебную переписку и одноразовые коды для входа в корпоративные системы. Практика загрузки APK в обход официальных магазинов встречается в российских компаниях, когда сотрудники пытаются установить приложения, недоступные в RuStore или Google Play. Это превращает смартфон в неконтролируемый шлюз для утечки данных.

Что делать для защиты от uCreator и похожих угроз

Первоочередная мера — полный запрет на установку мессенджеров из случайных APK-файлов и сторонних источников. Telegram, WeChat, GCash и любые другие рабочие приложения должны загружаться только из официальных магазинов. Если политика компании допускает использование личных устройств, стоит дополнительно контролировать целостность критичных приложений и отслеживать попытки загрузки неподписанных сборок. Работоспособность цепочки заражения на Android 17 пока не подтверждена — по мнению исследователя, у захваченного движка есть проблемы совместимости, однако полагаться только на версию ОС как на защиту не следует. Общепринятой практикой остаётся изоляция корпоративных данных в защищённом контейнере на мобильном устройстве и регулярный аудит установленного ПО.