Onderzoekers waarschuwen voor uCreator Android-spyware, een pakket dat zich niet gedraagt als klassieke “installatie en klaar”-malware. In plaats daarvan misbruikt het de manier waarop mobiele apps functioneren: het verbergt kwaadaardige code in ogenschijnlijk werkende varianten van Telegram en WeChat. Wie zo’n aangepaste app installeert—bijvoorbeeld via sideloading of via downloads buiten de officiële appstores—kan te maken krijgen met accountovername.
Volgens de analyse kan de spyware Telegram-gebruikers raken via ingrepen rond verificatie en sessies, en WeChat-gebruikers via virtualisatie en een gekopieerde inlogidentiteit. De exacte impact per land blijft onzeker, maar de technische mogelijkheden zijn concreet en verontrustend.
Hoe uCreator Android-spyware zich verstopt
De kern van het probleem is dat de spyware zich “meelift” in legitieme apps. De onderzoekers zien twee belangrijke routes:
- Aangepaste app-versies die buiten de officiële appstores worden verspreid, bijvoorbeeld via sideloading of misleiding.
- Een eigen container-app (“Onion Box”) waarmee andere apps worden uitgevoerd alsof ze in een gecontroleerde omgeving draaien.
Daarnaast valt op dat sommige verdacht gemaakte Telegram X-kopieën hetzelfde pakketnaam-concept kunnen gebruiken als de echte app op Google Play. Alleen de appnaam is daardoor geen betrouwbare indicator.
Telegram: van 2FA naar sessie-overname
Voor Telegram koppelt uCreator zich aan een deel van de app-functies: de code start in de aangepaste appomgeving en krijgt toegang op basis van de permissies die die app heeft. Daarmee kan de spyware dezelfde rechten benutten als de gebruiker die al is ingelogd.
Wat het extra schadelijk maakt, is hoe de 2-stapsverificatie wordt benaderd. De spyware zou de flow rond de Telegram twee-staps verificatie (2FA) kunnen afluisteren, waarbij een ingevoerd wachtwoord eerst wordt gekopieerd in leesbare vorm en pas daarna door de app wordt gehasht. Met die informatie kan de aanvaller vervolgens onder meer:
- ingelogde sessies resetten of opnieuw activeren,
- het gekoppelde telefoonnummer wijzigen,
- het account verwijderen,
- de eigenaar buitensluiten terwijl de aanvaller toegang behoudt.
Er zijn aanwijzingen dat de code ook een aanvallersessies kan verbergen in de lijst die de gebruiker op het apparaat ziet. Ook zou de spyware periodiek gegevens over het account doorsturen (in de analyse: elke drie minuten), inclusief telefoonnummer, naam en wachtwoord.
WeChat: accountcloning via container en backend
Voor WeChat kiest uCreator—volgens de onderzoekers—een andere aanpak. In plaats van chatgeschiedenis te “lezen”, richt de kit zich primair op de account zelf. De werking komt neer op app-virtualisatie: de echte (ongemodificeerde) app draait in een containeromgeving, waarna inlogidentiteit kan worden gekopieerd.
Daarna wordt de gegevensset gecomprimeerd (gezipte upload) en gebruikt een bijbehorend script om een account te klonen. Dat betekent dat een overgenomen account niet alleen wordt “benaderd”, maar in de praktijk kan worden nagebouwd in de operatie.
De analyse vermeldt ook dat er backend-code is gevonden op een zelf-gehoste GitLab-omgeving. Die backend ondersteunt een console-model waarin opdrachten aan klanten of resellers lijken te worden gekoppeld. Elke opdracht bevat een klant-id, waardoor de activiteit per klant kan worden afgestemd op een gekozen doelselectie.
Wie is er mogelijk achter de campagne?
De onderzoeker verbindt onderdelen van de operatie aan bedrijven en registraties in de provincie Hunan (China). Daarbij wordt onder meer gekeken naar links tussen merknamen, certificaten, publieke vermeldingen en codehandtekeningen. Tegelijk is benadrukt dat het verband niet als definitief bewezen wordt gezien.
De kit wordt in de analyse gekoppeld aan een productnaam (YingGai) en er worden voorbeelden genoemd van samples uit 2024 tot en met juli 2026. Ook wordt genoemd dat er meerdere ontwikkelaars actief lijken te zijn, met wijzigingen in de periode rond oktober 2026.
Verspreiding: sideloading, misleiding en derde partijen
De besmetting start niet bij een “remote exploit” die zomaar iedereen raakt. De belangrijkste vereiste is dat slachtoffers de gemanipuleerde apps installeren of de container-route gebruiken.
De onderzoekers noemen onder meer:
- Sideloading: het direct installeren van een apk-bestand buiten de officiële appstores.
- Social engineering waardoor gebruikers naar aangepaste downloads of installatiestappen worden geleid.
- In-app advertenties die leiden naar valse “app store”-pagina’s.
Voor Baohuo (een gerapporteerde Telegram-backdoor die door een andere partij in 2025 werd besproken) wordt in de vergelijking gewezen op overeenkomsten in code-onderdelen, command names en een C2-server. De onderzoekers geven ook aan dat niet duidelijk is of dezelfde actor achter beide trajecten zit of dat één klant de campagne gebruikte die door een ander werd gevolgd.
Wat u kunt doen als gebruiker
Omdat uCreator Android-spyware zich vooral installeert via aangepaste apps en container-routes, zijn maatregelen aan de gebruikerskant vooral gericht op installatiekeuzes en accounthygiëne.
Beperk de kans op installatie
- Installeer apps zoveel mogelijk via officiële appstores.
- Wees extra alert bij “gewijzigde” Telegram X- of andere versies met dezelfde naam als het origineel.
- Vertrouw niet op advertentie-links of pagina’s die “appstore”-achtig lijken, maar niet door de platformhouder worden beheerd.
Als u vermoedt dat uw account is geraakt
- Controleer sessielijsten waar dat kan en log uit op verdachte apparaten.
- Wijzig wachtwoorden en 2FA-credentials, en houd daarbij rekening met het feit dat 2FA-wachtwoorden in de analyse als leesbaar gekopieerd worden vóór hashing.
- Neem bij Telegram en WeChat waar mogelijk stappen om eventuele “klonen” of gekoppelde identiteiten te verbreken (vooral als u geen toegang meer heeft).
In de bronanalyse wordt ook benadrukt dat onderzoekers geen “kant-en-klare” stappen voor herstel zien in de publieke beschrijvingen. Toch zijn de bovenstaande acties logisch in het licht van sessieovername en accountcloning.
Indicatoren en technische sporen
De onderzoekers noemen in de analyse twee praktische sporen op een toestel die als betrouwbaar worden beschouwd:
- een codebestand, TgJarPine.dex, in de assets van sommige aangepaste Telegram-kopieën,
- een originele apk-kopie die door een patching tool wordt achtergelaten (genoemd als cache/lspatch/origin/*.apk), waarbij die tool zelf ook als bron van die sporen kan werken.
Daarnaast zijn er voorbeelden van domeinen die op een bepaald moment niet meer resolven en een reeks SHA-256 hashes die gekoppeld worden aan specifieke componenten van de Telegram- en WeChat-onderdelen. Voor wie incident response doet, kunnen dit soort IOC’s helpen bij triage, maar ze vervangen geen analyse op het toestel zelf.
Als u eerder hebt gelezen over aanvallen waarbij code wordt vermomd in mobiele of aangepaste app-builds, kan dit aansluiten op de bredere trend die ook in andere beveiligingsgevallen terugkomt—bijvoorbeeld wanneer malware bouw- of distributieflows misbruikt. Zie ook LiteLLM supply chain aanval: PyPI en Docker voor hoe supply chain en distributieroutes in de praktijk worden uitgebuit.
Waarom deze aanval anders is
Veel mobiele malware probeert óf snel te verdienen óf data te stelen. uCreator Android-spyware lijkt meer op een “product” waarmee modules tegen verschillende doel-apps kunnen worden ingezet. De kit combineert die module-benadering met een backend die activiteiten kan plannen en beperken (zoals tijdvensters en daglimieten), zodat gedrag menselijker kan lijken en platformchecks kan omzeilen.
Daarbovenop maakt het 2FA-ontwerp het risico groter: als een aanvaller 2FA-wachtwoorden kan aflezen in de app-flow, gaat het voordeel van extra verificatie deels verloren.
Samenvatting: hou controle over installatie en sessies
uCreator Android-spyware toont hoe ernstig mobiele accountovername kan worden wanneer malware niet alleen gegevens pakt, maar ook verificatiestappen en sessies beïnvloedt. Voor Telegram draait het in de analyse om het uitlezen van de 2FA-flow en het overnemen of verbergen van toegang. Voor WeChat gaat het om het klonen van accounts via container-techniek en een backendconsole.
Door apps alleen uit vertrouwde bronnen te installeren, misleidende downloadroutes te vermijden en bij verdachte signalen direct wachtwoorden en sessies aan te pakken, verkleint u de kans aanzienlijk dat zo’n aangepaste app uw account daadwerkelijk kaapt.
Bron: https://thehackernews.com/2026/10/ucreator-android-spyware-can-steal.html
