Le kit uCreator piège des copies de Telegram et WeChat pour détourner des comptes et voler des mots de passe 2FA.

Un nouveau kit uCreator circule dans l’écosystème des logiciels espions sur Android. Selon le chercheur Ovi, il permet de prendre le contrôle de comptes Telegram et WeChat. Pour y parvenir, il cache son code malveillant dans des copies fonctionnelles des deux applications. La victime croit donc utiliser une messagerie normale. Pourtant, l’application est piégée.

Ce kit est décrit comme lucratif. Autrement dit, il alimente une activité rentable pour ceux qui le vendent ou l’exploitent. Voyons donc ce que l’on sait de son fonctionnement et des personnes réellement exposées.

Le kit uCreator : des applications piégées mais fonctionnelles

Le principe repose sur une technique classique, mais efficace. D’abord, les opérateurs reprennent une application légitime. Ensuite, ils y injectent du code espion. Enfin, ils la redistribuent sous une forme qui reste utilisable.

Cette approche présente un avantage majeur pour les attaquants. En effet, l’application piégée se comporte comme l’original. Les messages s’affichent, les appels passent et les contacts apparaissent. Par conséquent, l’utilisateur n’a aucune raison de soupçonner une anomalie.

Le code malveillant agit en arrière-plan. D’après le titre de la publication d’origine, il peut dérober les mots de passe de double authentification de Telegram. Il peut également cloner des comptes WeChat. Ces deux capacités sont particulièrement graves. En effet, elles ouvrent la voie à une usurpation d’identité complète.

Telegram et WeChat : deux comptes dans le viseur

La partie du kit dédiée à Telegram correspond à Baohuo. Il s’agit d’une porte dérobée déjà documentée par un éditeur de sécurité. Ce rapprochement est important. En effet, il montre que uCreator ne repart pas de zéro. Le kit réutilise une base malveillante connue.

Le mot de passe de double authentification joue un rôle central. Normalement, il protège le compte, même si un code SMS est intercepté. Cependant, si le logiciel espion le capture directement dans l’application, cette barrière devient inutile. L’attaquant peut alors s’installer durablement sur le compte.

Du côté de WeChat, le risque est celui du clonage. Un compte cloné permet de lire des conversations et d’usurper une personne. Il peut également servir à contacter ses proches ou ses collègues. Ainsi, une seule infection peut déboucher sur de nouvelles tentatives de fraude.

Pourquoi ces messageries intéressent les attaquants

Ces applications concentrent beaucoup d’informations sensibles. On y trouve notamment des échanges privés, des groupes professionnels et parfois des moyens de paiement. De plus, elles reposent sur la confiance entre contacts. Par conséquent, un message envoyé depuis un compte légitime paraît toujours plus crédible.

Qui est vraiment exposé par le kit uCreator ?

Le périmètre de la menace reste limité, et c’est une bonne nouvelle. Le kit n’atteint pas tous les utilisateurs de Telegram ou de WeChat. En effet, il touche uniquement deux profils précis.

• Les personnes qui installent une copie modifiée de l’application, distribuée en dehors des boutiques officielles.
• Celles qui exécutent WeChat dans l’application conteneur propre aux créateurs du kit.

Dans les deux cas, l’utilisateur doit donc faire un geste volontaire. Il télécharge un fichier d’installation depuis une source non officielle. Ou bien il passe par un conteneur qui héberge l’application à sa place. En revanche, les versions installées depuis les boutiques officielles ne sont pas concernées par ce scénario.

Toutefois, cette limite ne doit pas rassurer à l’excès. Les versions modifiées se présentent souvent comme des alternatives pratiques. Certaines promettent des fonctions supplémentaires, une meilleure confidentialité ou un accès contourné dans certains pays. C’est précisément cet argument qui piège les victimes.

Le rôle de l’application conteneur

Un conteneur est une application qui en fait tourner une autre dans un espace isolé. Il peut servir, par exemple, à utiliser plusieurs comptes sur un même téléphone. Pourtant, il se place entre l’utilisateur et l’application. Il peut donc observer ce qui s’y passe. Par conséquent, lorsque le conteneur est contrôlé par des acteurs malveillants, cette position devient dangereuse.

Recommandations pour se protéger

Les mesures de protection sont simples. Cependant, elles demandent surtout de la discipline.

1. Installez Telegram et WeChat uniquement depuis les boutiques officielles ou depuis les sites de leurs éditeurs.
2. Évitez les versions modifiées, les « mods » et les fichiers APK reçus par message ou par lien.
3. Méfiez-vous des applications conteneurs de provenance inconnue, surtout pour des messageries.
4. Vérifiez dans les paramètres de Telegram la liste des appareils connectés. Ensuite, fermez toute session que vous ne reconnaissez pas.
5. Changez votre mot de passe de double authentification si vous avez utilisé une application douteuse. Faites-le toutefois depuis un appareil sain.

Enfin, si vous suspectez une infection, désinstallez l’application concernée. Réinstallez ensuite une version officielle. Par ailleurs, prévenez vos contacts afin qu’ils ignorent d’éventuels messages suspects.

Ce qu’il faut retenir

• Le kit uCreator cache du code espion dans des copies fonctionnelles de Telegram et WeChat.
• Il vise le vol de mots de passe 2FA sur Telegram et le clonage de comptes WeChat.
• Sa partie Telegram correspond à la porte dérobée Baohuo.
• Seuls les utilisateurs de copies modifiées ou du conteneur des créateurs du kit sont exposés.
• Les sources officielles restent la meilleure défense.

Source : uCreator Android Spyware Can Steal Telegram 2FA Passwords and Clone WeChat Accounts