Um kit de spyware batizado de uCreator está sequestrando a verificação em duas etapas do Telegram e clonando contas completas do WeChat em dispositivos Android. O Brasil figura entre os países mais afetados, respondendo por mais de 20% das infecções globais mapeadas até o momento. A ameaça ignora a loja oficial e explora a confiança do usuário em versões modificadas de aplicativos populares.
Como o uCreator invade o seu celular
A distribuição ocorre exclusivamente fora da Google Play Store, via arquivos APK instalados manualmente e engenharia social. Pesquisadores identificaram um componente chamado Onion Box: um contêiner que executa outros aplicativos dentro de si, carregando bibliotecas e ferramentas necessárias para funcionar em qualquer ambiente.
Versões adulteradas do Telegram rodam o código malicioso com as mesmas permissões do app legítimo. O golpe captura a senha do 2FA em texto puro antes que o aplicativo oficial a proteja. Com essa credencial, o invasor lê o histórico, encerra sessões, altera o número vinculado, apaga a conta e esconde a própria atividade na lista de dispositivos ativos.
O golpe no WeChat e a técnica de virtualização
No WeChat, a estratégia muda: o kit usa virtualização para executar o aplicativo original em um ambiente isolado controlado pelo malware. O processo copia o identificador de acesso, compacta os dados da conta e roda um script que a clona integralmente. A vítima perde o controle sem perceber que o app “oficial” está rodando dentro de uma armadilha.
Android 17 tenta bloquear, mas criminosos adaptam
Testes em um Pixel 10 Pro rodando Android 17 mostraram que mudanças internas do sistema dificultam o mecanismo atual do uCreator. No entanto, o pesquisador Ovi alerta: isso apenas força uma adaptação dos operadores, não representa uma barreira definitiva. A corrida armamentista entre segurança do SO e desenvolvedores de spyware continua aberta.
Conexão com Baohuo e o ranking do Brasil
Parte do código do uCreator coincide com o Baohuo, backdoor encontrado em cópias do Telegram X. Dados da Doctor Web, de outubro de 2025, contabilizavam mais de 58 mil dispositivos infectados. Sites falsos promoviam o Telegram X como app de namoro e chamadas de vídeo; anúncios em português miravam especificamente o público brasileiro.
- Brasil: 20,5% das infecções globais (líder no mapa da Doctor Web).
- Indonésia: Segundo alvo prioritário, com anúncios no idioma local.
- Vetor: Falsos sites de “Telegram X” disfarçados de apps sociais.
O mercado por trás do crime: aluguel de kit
Ovi localizou uma plataforma de controle, chamada YingGai, que permite a comerciantes e revendedores alugar o kit para operar contas alheias. Registros indicam atividade desde setembro de 2021, com amostras analisadas entre 2024 e julho de 2026. Trata-se de um modelo Malware-as-a-Service maduro, baixando a barreira de entrada para criminosos sem habilidade técnica avançada.
Sinais de que o aplicativo pode ser uma armadilha
- O download é oferecido por site terceiro, não pela Play Store.
- O instalador pede permissão para “Instalar apps desconhecidos”.
- O app promete funções inexistentes no original (ex: “ver quem visitou seu perfil”).
- O ícone ou nome difere sutilmente do oficial (ex: “Telegram X Pro”).
O que observar daqui para frente
A única defesa confiável continua sendo a instalação exclusiva via Google Play Store. O Play Protect varre cada pacote antes do download e bloqueia ameaças conhecidas automaticamente; fora dali, o usuário perde essa camada nativa. Para empresas, o alerta é direto: políticas de MDM que bloqueiem instalação de APKs externos deixam de ser “boas práticas” e passam a ser requisito básico de higiene digital. A evolução do uCreator para burlar o Android 17 sinaliza que a próxima onda de ataques virá mais sofisticada — e provavelmente ainda disfarçada de utilitários atrativos.
