uCreator, Spyware Android a Noleggio: ruba 2FA e clona account Telegram e WeChat via app manomesse

Un kit di spyware Android a noleggio chiamato uCreator sta attirando attenzione per la capacità di prendere il controllo di account Telegram e WeChat attraverso app manomesse e tecniche di virtualizzazione. Il meccanismo di infezione ruota soprattutto intorno al sideloading, cioè l’installazione di file APK fuori dagli store ufficiali, spesso spinta da social engineering e campagne che rimandano a falsi siti di download.

In alcuni casi le copie modificate di Telegram X mantengono lo stesso nome pacchetto della versione legittima, rendendo più difficile accorgersi della sostituzione.

Una volta installata l’app alterata, il codice malevolo si avvia insieme all’app e opera con la stessa identità e gli stessi permessi dell’applicazione autenticata. Questo consente allo spyware di accedere ai dati locali e di interagire con le funzioni interne. Un elemento chiave è la presenza di un server di comando locale dentro l’app stessa, mentre moduli aggiuntivi vengono scaricati dopo l’installazione per ridurre la visibilità dell’installer e complicare l’analisi statica.

Telegram: furto di conversazioni e password 2FA

Su Telegram, uCreator può estrarre conversazioni effettuando query sul database dei messaggi e soprattutto intercettare la password della verifica in due passaggi. Il furto avviene nel momento in cui l’utente inserisce la password 2FA, prima che venga trasformata in prova crittografica, permettendo di copiarla in chiaro. Con queste credenziali l’attaccante può resettare sessioni, cambiare numero associato o arrivare alla cancellazione dell’account, includendo funzioni pensate per bloccare il proprietario mantenendo attiva la sessione controllata. Inoltre può nascondere la sessione malevola dalla lista dispositivi mostrata all’interno dell’app compromessa.

WeChat: virtualizzazione e clonazione dell’account

Per WeChat, il kit sfrutta anche la virtualizzazione tramite un contenitore dedicato che esegue l’app originale in un ambiente controllato. In questo scenario viene copiata l’identità di login, i dati dell’app vengono compressi e caricati, e uno script automatizzato consente di clonare l’account. Il focus qui è l’account nel suo complesso più che la sola cronologia chat.

Indicatori e rischi principali

Tra le tracce utili per l’individuazione figurano un file dex specifico presente negli asset di alcune varianti e la copia originaria dell’APK lasciata da strumenti di patching in percorsi di cache. La minaccia evidenzia quanto sia rischioso installare app fuori dagli store e quanto sia importante verificare provenienza, firma e integrità delle applicazioni di messaggistica.