uCreator: el spyware Android que secuestra Telegram y WeChat

Hay una categoría de amenaza que no necesita exploits de día cero ni cadenas de vulnerabilidades imposibles: le basta con que el usuario instale la app equivocada. Es lo que ocurre con uCreator, un kit de spyware para Android que, según el investigador Ovi, se infiltra en copias manipuladas de Telegram y WeChat para quedarse con las cuentas de la víctima. No hablamos de un troyano genérico: el objetivo es el canal por el que muchas empresas pequeñas se comunican hoy con clientes y proveedores.

Cómo funciona el engaño

La mecánica es sencilla de describir y difícil de detectar a simple vista. Los responsables del kit cogen el código de Telegram o WeChat, lo modifican e insertan su propia carga maliciosa, y distribuyen el resultado como si fuera la aplicación legítima. El usuario instala lo que cree que es su mensajería de siempre y, a partir de ahí, el spyware actúa en segundo plano.

El vector de entrada es doble. Por un lado, las copias manipuladas circulan fuera de las tiendas oficiales de aplicaciones, es decir, por descargas directas, enlaces compartidos o repositorios de terceros. Por otro, existe la vía de un contenedor propio de los creadores del kit, pensado para ejecutar WeChat dentro de él. En ambos casos, la víctima tiene que dar el primer paso: instalar algo que no viene del canal correcto.

Qué se lleva el atacante

Los dos objetivos declarados del kit son especialmente sensibles. En Telegram, el spyware busca contraseñas de doble factor (2FA), ese segundo candado que muchos equipos activan precisamente para blindar la cuenta. En WeChat, el objetivo es clonar la cuenta, lo que abre la puerta a suplantar la identidad de la víctima ante sus contactos.

Conviene detenerse en el matiz del 2FA. La autenticación en dos pasos no es una bala de plata: si el dispositivo donde se introduce el código o la contraseña está comprometido, el atacante puede capturar ese factor adicional igual que capturaría la contraseña. La lección no es que el 2FA no sirva, sino que protege la cuenta, no el terminal. Un móvil infectado sigue siendo un punto débil aunque la cuenta tenga doble factor.

El componente de Telegram del kit, además, coincide con Baohuo, un backdoor previamente documentado. Es decir, no estamos ante una pieza aislada, sino ante una familia de herramientas que se reutiliza y se empaqueta para su venta. El propio enfoque del kit, descrito como rentable, apunta a un modelo de negocio: spyware empaquetado y comercializado, no artesanía de un solo actor.

Por qué esto importa a una pyme

En una empresa pequeña, el móvil es a menudo la única herramienta de trabajo real. El comercial que atiende por Telegram, el equipo que coordina pedidos con proveedores asiáticos por WeChat, el autónomo que gestiona todo desde el teléfono. Cuando la mensajería se convierte en canal de negocio, comprometerla deja de ser un problema de privacidad personal y pasa a ser un riesgo operativo y reputacional: suplantación ante clientes, fuga de conversaciones comerciales, acceso a grupos internos.

Y hay un factor que agrava el escenario: la instalación de APK fuera de Google Play suele estar normalizada en determinados entornos, ya sea por apps corporativas internas, por versiones que no llegan a la tienda oficial o simplemente por costumbre. Esa normalización es exactamente el terreno que este tipo de kits necesita. Como ya vimos con el archivo en Descargas que intenta engañar a un agente de IA, el eslabón débil rara vez es la tecnología: es el hábito de instalar sin verificar.

Qué recomendamos hacer

1. Prohibir por política la instalación de APK de origen desconocido en dispositivos que manejen cuentas de empresa. Si hace falta una app fuera de la tienda, que pase por IT y quede documentada.
2. Verificar siempre el desarrollador y la firma de la aplicación antes de instalar. Una copia manipulada puede conservar el icono y el nombre, pero no la identidad del publicador legítimo.
3. Revisar qué apps de mensajería hay instaladas en los móviles del equipo y desinstalar duplicados, versiones paralelas o contenedores que nadie sabe de dónde han salido.
4. Activar el 2FA, sí, pero con método: preferir códigos generados en la propia app o llaves físicas antes que SMS, y no introducir credenciales en dispositivos que no controlemos.
5. Formar al equipo en una regla simple: si un enlace te pide instalar una actualización de Telegram o WeChat fuera de la tienda oficial, es un ataque, no una actualización.

Este caso encaja en una tendencia que venimos observando: el atacante ya no busca tanto romper la criptografía como colarse en el extremo donde el usuario confía. Lo vimos con el robo de la clave de verificación en el caso de Keystone y las 18.835 carteras, y lo volvemos a ver aquí. La defensa empieza por el inventario: saber qué hay instalado en cada dispositivo y por qué canal llegó.

Para una pyme, la buena noticia es que este vector concreto se corta con higiene digital y política interna, sin necesidad de grandes presupuestos. La mala es que exige constancia: revisar, verificar y recordar al equipo que la comodidad de un enlace directo puede costar una cuenta entera.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.