LONDON / LONDON (IT BOLTWISE) – Eine Android-Spyware namens uCreator greift Telegram- und WeChat-Accounts an, indem sie Code in manipulierte App-Kopien einschleust. Dabei werden bei Telegram 2FA-Passwörter vor dem Hashen abgegriffen, um Sitzungen zu übernehmen, Telefonnummern zu ändern oder Konten zu löschen. Bei WeChat läuft zusätzlich Virtualisierung, um Login-Identitäten auszulesen und Accounts per Skript zu klonen. Forscher haben die technischen Fähigkeiten detailliert beschrieben und nennen konkrete Indikatoren für die Erkennung.
Eine neu analysierte Android-„Spyware-Toolbox“ namens uCreator setzt nicht auf einen klassischen Exploit, sondern auf einen Umweg, der sich für Angreifer mit wenig Aufwand skalieren lässt: Sie verstecken ihren Schadcode in funktionierenden Kopien von Telegram und WeChat. Wer eine solche manipulierte App außerhalb offizieller App-Stores installiert oder die WeChat-Variante innerhalb einer vom Angreifer bereitgestellten Container-App ausführt, bekommt damit potenziell die gleiche Rechtevergabe wie die echte App. Technisch interessant ist vor allem, wie eng der Angriff mit den normalen App-Identitäten verzahnt ist: Der Code startet in der Umgebung der Ziel-App und nutzt deren Signatur- und Berechtigungsrahmen, sodass sich die Kontrolle über Konten anfühlt, als käme sie direkt aus der legitimen Anwendung.
Der Telegram-Teil zeigt besonders gefährliche Momente in der Logik der Kontosicherung. Nach der Beschreibung greift uCreator zunächst den Prozess ab, in dem die Zwei-Faktor-Authentifizierung (2FA) im App-Kontext verarbeitet wird. Die 2FA-Passworteingabe wird dabei in lesbarer Form kopiert, bevor die App das Passwort intern in einen Login-Proof umwandelt und anschließend historisch gesehen weiter absichert. Mit diesem Material kann der Schadcode angemeldete Sitzungen zurücksetzen, die verknüpfte Telefonnummer ändern oder sogar Konten löschen. Zusätzlich ist in der Malware eine Mechanik vorgesehen, die den Gerätebesitzenden aussperren soll, während die Angreifersitzung „durchgehend lebt“, inklusive einer Ausblendung im von der App angezeigten Geräte- und Sitzungslistenbild.
Die Untersucher ordnen den Telegram-Backdoor zudem in eine breitere Kampagnenlandschaft ein. Ein Sicherheitsanbieter hatte im Oktober 2025 einen Backdoor namens Baohuo beschrieben, der in manipulierten Kopien von „Telegram X“ gefunden wurde; damals wurden demnach mehr als 58.000 infizierte Geräte geschätzt. Die im aktuellen Bericht vorgestellte Analyse verweist darauf, dass Baohuo und der uCreator-Telegram-Teil über mehrere technische Details zusammenpassen: etwa über ein identisches Code-Namespace-Schema (com.ucreator.tgjar), über den gleichen Command-and-Control-Server und über passende Kommandonamen. Bemerkenswert ist außerdem die Verteilung der Trefferpunkte über Länder hinweg: In der 2025 erstellten Karte rangierte demnach Indien mit 22,8% vor Brasilien (20,5%) und Indonesien (9,6%). Unabhängig von der exakten Zielquote ergibt sich daraus vor allem ein praktisches Risiko: Angriffe, die über Sideloading, Social Engineering und manipulierte Werbe- oder Umleitungsstrecken laufen, können sehr gezielt in Regionen mit hoher Messenger-Nutzung ankommen.
Für die Abwehr ist die Frage nach dem „Wie“ der Initialinfektion ebenso entscheidend wie die Schadlogik. Als Wege werden Sideloading über direkt installierte APK-Dateien sowie Social Engineering genannt, bei dem Nutzer zu manipulierten Installationspfaden gebracht werden. Zusätzlich existiert eine zweite Route über die eigene Container-App, die als „Onion Box“ bezeichnet wird (in den beschriebenen Artefakten als „Onion Box“ beziehungsweise mit einem chinesischsprachigen Appnamen). Auffällig: Einige manipulierte Telegram-X-Kopien verwenden denselben Paketnamen wie das echte Google-Play-Programm, wodurch allein der Anzeigename zur Identifikation nicht reicht. Bei Baohuo-Instanzen wird zudem eine Verbreitung seit Mitte 2024 über In-App-Ads beschrieben, die auf Fake-App-Store-Seiten führen; die Suchanmutung solcher Seiten ist dabei trügerisch, weil Bannerinhalte nur regionalen Nutzergruppen in bestimmten Sprachen auffallen, die technische Signatur und die Signaturhistorie aber ein anderes Bild zeichnen.
Technisch wird uCreator als „Produkt“ eingeordnet, das modulartig ausgerollt werden kann. Für WeChat nutzt das Setup App-Virtualisierung: Die originale, unveränderte Ziel-App läuft dabei im Container, während das System Login-Identitäten extrahiert, App-Daten zippt und mit einem gebündelten Login-Skript an das Klon-Workflow-Backend übergibt. Entscheidend ist dabei auch die Back-End-Komponente, die nach Angaben der Forscher auf einem selbst gehosteten GitLab-Setup zu finden war und nicht auf „genehmigte“ IPs beschränkt gewesen sein soll. Über eine Cloud-Konsole sollen Händler und Reseller Zugriff auf „Kommandozeilen“ mieten, wobei jedes Kommando eine Kunden-ID mitführt. Dadurch kann eine einzelne Operation eine Telefon-Flotte und ein Zielset verwalten, mit Zeitfenstern, Tageslimits und Budgetgrenzen, sodass die Aktivitäten „menschlicher“ wirken und Abwehrmechanismen der Plattformen eher umgehen.
Für Incident-Response und forensische Checks liefern die Analysen konkrete Indikatoren. Als wiederkehrende Spuren nennt der Bericht unter anderem ein Code-Datei-Artefakt (TgJarPine.dex) in den Assets einiger manipulierten Telegram-Kopien sowie den Pfad zur Original-App, den ein gängiges Patch-Tool namens LSPatch in den Cache schreibt (typisch unter cache/lspatch/origin/*.apk). Die Erkennung über diese Spuren ist allerdings mit Vorsicht zu interpretieren: Da LSPatch auch legitime Gründe haben kann, kann dieser Cache-Hinweis ohne Kontext auch falsch positive Treffer erzeugen. Zu den genannten Hashes zählen beispielsweise SHA-256: 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, Framework und Command Handler), SHA-256: 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, Loader) sowie Beispiele für manipulierte Telegram-Varianten (etwa org.telegram.messenger.web und org.thunderdog.challegram) und für WeChat-Container (com.ucreator.va_vx, com.ucreator.va_yjb_client). Dazu kommen benannte Domains, die zum Zeitpunkt der Prüfung teils nicht mehr aufgelöst haben sollen, etwa hpncallback.gold5play[.]com und hpncallback.qianxunlbs[.]com (beides Command-Server) sowie telegram-apk.uzyzx[.]com (Download-Host), und ein Upload-Ziel für Versionen (hw.android.videoflow[.]cn), das auf eine bekannte IP-Adresse verweist. Als allgemeiner Hinweis gilt: Bei uCreator ist nicht nur die Komponente selbst relevant, sondern die gesamte Lieferkette von App-Installation bis zu den später nachgeladenen Modulen.
Auch die Diskussion um Android-Versionen zeigt, wie sorgfältig Angreifer ihre technischen Haken anpassen müssen. Ein „Hooking Engine“-Baustein wird auf einem Pixel 10 Pro mit Android 17 geprüft; dabei konnte der Forscher keine interne Android-Funktion finden, auf die diese Engine vermutlich setzt, weil neuere Android-Versionen eine relevante Änderung enthalten. Gleichzeitig kann ein dynamisches Instrumentationswerkzeug wie Frida auf diesem Gerät weiterhin Funktionen über denselben Mechanismus „hooken“, was die Bewertung nahelegt: Android 17 verhindert den Angriff nicht automatisch, erhöht aber offenbar den Aufwand für die Herstellerseite. Der jüngste Sample vom 29. Juli 2026 soll weiterhin die ältere Engine getragen haben; Samples für Android 16 werden zwar wiederhergestellt, aber ohne detailliert dokumentierte Tests für diese Version. Für Unternehmen und Sicherheitsteams bedeutet das: Patch- und Update-Politik allein ist keine vollständige Gegenmaßnahme, aber sie beeinflusst die Kosten und Erfolgschancen solcher Kits. In der Praxis sollten daher sowohl technische IOCs als auch organisatorische Maßnahmen greifen, etwa strikte Kontrolle von Sideloading, Monitoring verdächtiger Container-Apps und die Bewertung von App-Paketnamen inklusive Signatur-Validierung.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "uCreator Android-Spyware: Telegram-2FA-Abgriff und WeChat-Account-Klonen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "uCreator Android-Spyware: Telegram-2FA-Abgriff und WeChat-Account-Klonen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »uCreator Android-Spyware: Telegram-2FA-Abgriff und WeChat-Account-Klonen« bei Google Deutschland suchen, bei Bing oder Google News!