Wprowadzenie do problemu / definicja
uCreater to zaawansowana platforma spyware dla systemu Android, oferowana w modelu wynajmu i ukierunkowana na przejmowanie danych z komunikatorów oraz aplikacji finansowych. Zagrożenie nie opiera się wyłącznie na klasycznym phishingu czy prostych nakładkach ekranowych, lecz wykorzystuje zmodyfikowane wersje legalnych aplikacji, do których osadzany jest złośliwy kod.
Taki model działania pozwala operatorom przechwytywać wiadomości, dane kont, kontakty, kody jednorazowe oraz informacje niezbędne do przejęcia aktywnej sesji użytkownika. To szczególnie niebezpieczne, ponieważ malware działa wewnątrz środowiska zaufanej aplikacji.
W skrócie
uCreater jest sprzedawanym lub wynajmowanym zestawem narzędzi do inwigilacji urządzeń z Androidem. Ukrywa się w przepakowanych pakietach APK podszywających się pod znane aplikacje, takie jak Telegram, Telegram X, WeChat czy wybrane portfele mobilne.
- wykorzystuje techniki hookowania, wirtualizacji aplikacji i dynamicznego doładowywania modułów,
- umożliwia wielu operatorom zarządzanie zainfekowanymi urządzeniami z jednego zaplecza,
- potrafi przechwytywać hasła 2FA, dane sesyjne i treści komunikacji,
- zwiększa skalę zagrożenia dzięki modelowi crimeware-as-a-service.
Kontekst / historia
Analiza wskazuje, że ekosystem uCreater jest starszy niż próbki obserwowane w ostatnich kampaniach. Ślady rozwoju platformy mają sięgać wcześniejszych lat, natomiast aktywne komponenty powiązane z Androidem były widoczne w próbkach z lat 2024–2026.
To sugeruje, że nie mamy do czynienia z jednorazowym złośliwym oprogramowaniem, ale z rozwijanym komercyjnie produktem. Model operacyjny wskazuje raczej na zaplecze usługowe dla wielu klientów niż narzędzie używane wyłącznie przez jedną grupę. W praktyce oznacza to rozdzielenie twórców platformy od operatorów prowadzących konkretne kampanie.
Analiza techniczna
Najważniejszą cechą uCreater jest osadzanie złośliwej logiki bezpośrednio wewnątrz legalnie wyglądających aplikacji. Platforma wykorzystuje techniki takie jak LSPatch, VirtualApp oraz Pine do hookowania funkcji i uruchamiania dodatkowego kodu w kontekście prawdziwej aplikacji.
Dzięki temu malware działa dokładnie tam, gdzie dane są już odszyfrowane, a użytkownik pozostaje zalogowany. Z perspektywy napastnika oznacza to znacznie większą skuteczność przechwytywania informacji niż w przypadku tradycyjnych trojanów bankowych czy prostych nakładek phishingowych.
W praktyce operator może dystrybuować przepakowaną wersję Telegrama lub WeChata, a po instalacji doładować odpowiednie moduły z infrastruktury zdalnej. Część instrumentacji pobierana jest dopiero po uruchomieniu aplikacji, co utrudnia analizę statyczną i pozwala tworzyć warianty dopasowane do konkretnego celu.
Szczególnie niebezpieczny jest komponent skierowany przeciwko Telegramowi. Według ustaleń może on wykonywać zapytania SQL wobec działającej bazy danych aplikacji, co otwiera drogę do pobierania treści i metadanych bez konieczności obchodzenia mechanizmów szyfrowania na poziomie systemowym.
Dodatkowo malware hookuje funkcje związane z obsługą hasła do weryfikacji dwuetapowej i może pozyskiwać je w postaci jawnej przed haszowaniem. Platforma zawiera także funkcje zarządzania sesjami, zmiany numeru telefonu przypisanego do konta, a nawet usuwania konta lub ukrywania własnej sesji na liście aktywnych urządzeń.
Wariant powiązany z WeChatem wydaje się silniej koncentrować na przejmowaniu dostępu do konta niż na pełnym wydobyciu historii czatów. Zidentyfikowane mechanizmy pozwalają zbierać informacje logowania, pakować dane aplikacji i wysyłać je do zewnętrznej pamięci obiektowej, co może wspierać klonowanie konta lub dalsze nadużycia z użyciem skradzionych artefaktów sesyjnych.
Na poziomie architektury zaplecza uCreater przypomina dojrzałą platformę operatorską. Badacze opisują obecność usług odpowiedzialnych za dystrybucję poleceń, autoryzację, zbieranie danych, backupy i pośredniczenie komunikacji. Implanty raportują się do serwerów kontrolnych z użyciem podpisanych żądań i identyfikatorów urządzenia, a w zainfekowanych aplikacjach może działać lokalny serwer komend z zestawem handlerów do enumeracji aplikacji, zbierania SMS-ów, kontaktów i zarządzania funkcjami konta.
Konsekwencje / ryzyko
uCreater podnosi poziom ryzyka mobilnego na kilku płaszczyznach jednocześnie. Atak nie kończy się na kradzieży loginu i hasła, lecz umożliwia dostęp do aktywnej sesji, treści komunikacji, danych kontaktowych oraz mechanizmów odzyskiwania konta.
Przechwytywanie kodów OTP i danych 2FA może prowadzić do pełnego obejścia dodatkowych zabezpieczeń. Dla użytkowników indywidualnych oznacza to możliwość przejęcia kont komunikatorów, utraty prywatności, kradzieży środków z portfeli mobilnych i nadużyć z wykorzystaniem książki adresowej ofiary.
Dla organizacji ryzyko jest jeszcze szersze. Możliwa staje się kompromitacja firmowych kont w komunikatorach, wyciek rozmów operacyjnych, naruszenie danych klientów oraz wykorzystanie zaufanych kanałów do dalszych działań socjotechnicznych.
Niebezpieczny jest także sam model wynajmu. Udostępnienie zaawansowanej platformy wielu podmiotom obniża próg wejścia dla cyberprzestępców, zwiększa skalę potencjalnych kampanii i utrudnia przypisywanie incydentów konkretnym sprawcom.
Rekomendacje
Podstawową rekomendacją jest ścisłe ograniczenie sideloadingu aplikacji poza oficjalnymi sklepami i zaufanymi kanałami dystrybucji. W środowiskach firmowych warto wdrożyć polityki MDM lub EMM blokujące instalację nieautoryzowanych pakietów APK oraz wymuszające kontrolę integralności aplikacji mobilnych.
Z perspektywy detekcji należy monitorować artefakty charakterystyczne dla przepakowanych aplikacji i technik patchowania, w tym nietypowe ścieżki cache, obecność dodatkowych modułów DEX, komponentów hookujących oraz oznaki działania kontenerów aplikacyjnych.
- wdrożenie rozwiązań mobile threat defense dla urządzeń z Androidem,
- wymuszenie instalacji aplikacji wyłącznie z kontrolowanych źródeł,
- segmentację dostępu do kont firmowych używanych na urządzeniach mobilnych,
- analizę telemetryczną ruchu generowanego przez urządzenia mobilne,
- szkolenia użytkowników dotyczące fałszywych instalatorów i przepakowanych aplikacji.
W przypadku podejrzenia infekcji konieczne jest szybkie odizolowanie urządzenia, unieważnienie aktywnych sesji w komunikatorach, zmiana haseł oraz ponowne powiązanie metod uwierzytelniania wieloskładnikowego z zaufanego urządzenia. Warto również przejrzeć listy aktywnych urządzeń i historię operacji na koncie w celu wykrycia nieautoryzowanych działań.
Podsumowanie
uCreater pokazuje, że mobilne spyware ewoluuje od prostych trojanów bankowych do modularnych platform operatorskich zdolnych do głębokiej ingerencji w działanie legalnych aplikacji. Najgroźniejszym elementem tego zagrożenia jest nie tylko kradzież danych, ale także możliwość przejmowania aktywnych sesji i manipulowania kontem ofiary od środka.
W połączeniu z modelem wynajmu tworzy to skalowalne i trudne do wykrycia narzędzie cyberprzestępcze, które powinno znaleźć się wysoko na liście priorytetów zespołów bezpieczeństwa odpowiedzialnych za ochronę urządzeń mobilnych.