Um kit de espionagem para Android chamado uCreator está sendo alugado a criminosos e usa cópias adulteradas do Telegram X e do WeChat para tomar contas de vítimas. Os detalhes saíram em um relatório publicado no dia 21 de outubro pelo pesquisador que assina como Ovi. Quem paga pelo acesso escolhe os alvos, acompanha os aparelhos por um painel e consegue capturar códigos de verificação e mexer em carteiras digitais.
O contágio depende de o próprio usuário instalar o app falso. Nada passa pela Play Store: os arquivos circulam em páginas que imitam sites oficiais ou chegam por conversa de golpista. Há uma terceira porta, o Onion Box, criado pelos mesmos desenvolvedores. Ele monta uma espécie de celular virtual dentro do aparelho e roda outros apps lá dentro, onde a coleta de dados passa despercebida.
Como as contas são tomadas
No Telegram, o código malicioso sobe junto com o mensageiro. Quando a vítima digita a senha da verificação em duas etapas, o uCreator guarda o que foi escrito antes de a informação chegar aos servidores do serviço. Com isso, o invasor troca o número de telefone associado, derruba as sessões abertas e deixa o dono legítimo do lado de fora.
No WeChat o método muda. O programa recorre à virtualização para duplicar a conta inteira: pega a identidade de login, empacota os dados do app e despacha tudo para máquinas controladas pelos criminosos. Para o pesquisador italiano Pierluigi Paganini, a novidade está no modelo de negócio, já que técnicas conhecidas viraram um produto controlado à distância e reaproveitável por qualquer cliente. Telegram e WeChat não comentaram o caso.
Servidor aberto entregou a operação
A estrutura veio à tona por descuido dos autores: um servidor GitLab sem senha. Ovi e outro pesquisador, Jurre, chegaram ao código do painel de controle. Por ele, o comprador administra os celulares infectados, agenda mensagens automáticas e programa ações que imitam uma pessoa usando o aparelho, truque para escapar de bloqueios antifraude. O histórico do repositório aponta cerca de 30 programadores na China, ligados a uma empresa de software de Changsha. Registros de domínio associam a infraestrutura a três empresas da província de Hunan, mas a relação societária entre elas ainda não foi confirmada.
A ferramenta existe desde setembro de 2021, quando se chamava YingGai, e recebeu atualizações frequentes entre 2024 e 2026. Quem está com o sistema em dia tem um respiro: num Pixel 10 Pro com Android 17, a captura de dados não funcionou, porque alterações internas da nova versão quebraram o mecanismo. Até os autores adaptarem o código, a ameaça segue mirando aparelhos com Android mais antigo.
O Brasil já esteve na mira
O módulo do Telegram tem a mesma estrutura de um código que a empresa russa Doctor Web batizou de Baohuo em outubro de 2025, encontrado em versões piratas do Telegram X. Mais de 58 mil aparelhos foram infectados. A campanha começou em meados de 2024 com anúncios exibidos dentro de outros apps, que levavam a lojas falsas oferecendo um Telegram X para namoro e vídeos. Os banners estavam em português e em indonésio. A Índia ficou com 22,8% das infecções e o Brasil veio logo atrás, com 20,5%.
Se você já instalou Telegram X ou WeChat baixado fora da loja oficial, apague o app, reinstale pela Play Store, troque a senha de duas etapas e encerre as sessões que não reconhece. Os pesquisadores apontam dois rastros de infecção: um arquivo escondido chamado TgJarPine.dex dentro do Telegram modificado e uma cópia oculta do aplicativo original guardada na pasta temporária do celular pela ferramenta que adultera os apps.
