Androidスパイウェア「uCreator」、TelegramとWeChatのアカウント情報を窃取

「uCreator」、改ざん版Telegramと仮想環境上のWeChatでアカウント乗っ取りを狙う

レンタル型のAndroidスパイウェアキット「uCreator」が、改ざんされたTelegramアプリや仮想環境上のWeChatを悪用し、ログインセッションやアカウント情報を窃取できることが明らかになった。研究者のOviが2026年10月21日に公開した調査によると、主な攻撃対象は、公式アプリストア以外からアプリをインストールした端末や、コンテナアプリ「洋葱盒子（Onion Box）」を利用する端末だ。ただし、今回の調査で確認された機能の多くはコードの解析に基づいており、すべてが実際の被害者に対して使用されたことを示す証拠はない。

uCreatorのTelegram向けコンポーネントは、Doctor Webが2025年10月に改ざん版Telegram Xから発見したバックドア「Baohuo」と技術的な共通点を持つ。両調査では、同じコードの名前空間「com.ucreator.tgjar」に加え、コマンド＆コントロール（C2）サーバーやコマンド名の一致が確認された。Doctor Webは当時、感染端末が5万8,000台を超えると推定していたが、キットの開発者と利用者のどちらがこの攻撃キャンペーンを運営していたのかは明らかになっていない。

Baohuoを含む改ざん版アプリは、2024年半ば以降、アプリ内広告から誘導する偽のアプリストアや、APKPure、ApkSum、AndroidPなどのサードパーティー製ストアを通じて配布されていた。偽サイトではTelegram Xを出会いやビデオチャット向けのアプリとして宣伝していた。一部の改ざん版は正規アプリと同じパッケージ名を使用し、APKPureには正規の開発者名で登録されていたものの、デジタル署名は異なっていた。

Doctor Webが2025年に集計した感染端末の地域別割合は、インドが22.8％、ブラジルが20.5％、インドネシアが9.6％だった。また、OviがアクセスしたC2サーバーには、中国や米国にいるとみられる被害者のデータも保存されていた。ただし、これらの情報だけでuCreator全体の被害規模を推定することはできない。

改ざんされたTelegramアプリに組み込まれた悪意のあるコードは、アプリの起動と同時に実行され、アプリに付与された識別情報や権限を利用する。アプリ内には攻撃コマンドを処理するローカルサーバーが組み込まれており、対象アプリごとの追加コードはインストール後にダウンロードされる仕組みだ。攻撃者はメッセージを保存するデータベースに任意のクエリを送信し、チャット履歴を取得できる。

さらに、このキットはTelegramが2段階認証用パスワードをハッシュ化する前の処理をフックし、平文のパスワードを取得する機能を備えている。コードには、ログインセッションの初期化、アカウントに紐づく電話番号の変更、アカウントの削除といった機能も実装されていた。攻撃者側のセッションを維持したまま正規の利用者をアカウントから締め出し、改ざん版アプリの端末一覧から攻撃者のセッションを隠す機能も確認されている。

Doctor Webも、Baohuoが端末一覧から特定のセッションを隠し、電話番号や名前、パスワードを3分間隔で送信する動作を確認している。ただし、隠されたセッションが改ざんされていない正規のTelegramアプリでも表示されなくなるかどうかは、いずれの調査でも明らかになっていない。

WeChatを対象とする攻撃では、改ざんされていない正規アプリをOnion Box内で実行する仮想化方式も利用される。キットは攻撃者からの指示に応じてログイン情報をコピーし、アプリのデータを圧縮してアップロードした後、指定されたスクリプトを使ってアカウントを複製するよう設計されている。このコンポーネントは、チャット履歴の収集よりもアカウント自体の取得を主な目的としている。

Oviと研究者のJurreが発見したセルフホスト型GitLabのバックエンドコードからは、販売業者や再販業者が顧客に貸し出すクラウド管理コンソールの存在も明らかになった。各コマンドには顧客IDが含まれており、利用者は割り当てられた携帯端末群を使って標的を指定できる。コマンドは、キット側が管理する携帯端末群と被害者の端末に送信される仕組みだ。

バックエンドのコードには、ログイン承認の傍受、友人の一括追加、連絡先やプロフィール情報の収集、アカウント全体のバックアップなどに対応する機能が含まれていた。スケジューラーでは、活動時間帯や1日当たりのランダムな実行上限、アカウントごとの活動量を設定でき、自動化された操作を人間の行動に近づけるよう設計されている。開発者は、この仕組みを「アカウント育成」と呼んでいた。

公開状態になっていたバックエンドは、個人用WeChatアカウントと企業向けWeComアカウントを対象としており、Telegramには対応していないとみられる。また、複数存在するGitLabサーバーのうち、外部からアクセスできる状態が確認されたのは1台だけだった。コードの変更履歴には、中国のタイムゾーンで活動する開発者約30人の痕跡が残されており、一部の開発者は2026年10月にもコードを更新していた。

Oviは、WeCom、QQ、WhatsApp、LINE、Zalo、KakaoTalk、Viber、GCash、MoMoなど、約20種類のアプリに対応するコードを発見した。ただし、詳細を公開したのはTelegramとWeChat向けのコンポーネントに限られる。対応アプリの構成から、中国や東南アジアで利用されるメッセージングアプリとモバイルウォレットに重点が置かれている可能性があるものの、実際の攻撃対象地域や被害範囲を示すものではない。

Android 17を搭載したPixel 10 Proでの検証では、uCreatorのフッキングエンジンが変更されたAndroid内部関数を特定できず、正常に動作しなかった。一方、同じ端末ではFridaによる同種のフッキングが可能だった。この結果は、Android 17が攻撃手法そのものを防いだことを意味するのではなく、検証されたuCreatorのエンジンが新しい環境に対応できていなかったことを示している。2026年7月29日付のサンプルにも旧式のエンジンが含まれていた。OviはAndroid 16向けのサンプルも入手しているが、同バージョンや中国メーカー製端末での動作検証については報告していない。

Oviは、関連ブランドのWebサイト、サーバー証明書、C2サーバーの登録情報、Windows向け制御プログラムのデジタル署名などを根拠に、調査対象となった活動の一部を中国・湖南省の3社とそれぞれ関連付けた。ただし、3社の所有者が同一であることや、特定の企業が攻撃を直接運営していたことまでは立証されていない。開発者が使用していた製品名は「YingGai」で、関連製品の記録は2021年9月までさかのぼる。今回分析されたサンプルは、2024年から2026年7月にかけて作成されたものだった。

攻撃の目的について、Oviはモバイルウォレットやワンタイムパスワードへの関心から、金銭的な動機がある可能性を指摘している。一方、Doctor WebはBaohuoについて、Telegramチャンネルの登録者数を増やす目的でも使用されるツールと説明していた。このため、確認された機能や活動をすべて単一の目的に結び付けることはできない。

技術的な痕跡としては、一部の改ざん版Telegramアプリのassetsフォルダーに保存された「TgJarPine.dex」や、「cache/lspatch/origin」以下に残された元のAPKファイルが挙げられる。ただし、後者のパスは汎用パッチツール「LSPatch」でも生成される可能性があり、その存在だけで悪意のあるアプリと判断することはできない。

公開されたサンプルのSHA-256ハッシュ値には、改ざん版Telegram Xの「dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e」、改ざん版Telegramの「805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717」、WeChatホストアプリの「f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20」が含まれている。

10月23日時点では、一部のC2サーバーやダウンロード用ドメインの名前解決ができなくなっていた。一方、バージョンアップロード用ドメイン「hw.android.videoflow.cn」は、IPアドレス「121.37.194.194」を指していた。