El programa espía uCreator roba cuentas de Telegram desde adentro de la propia aplicación. Se esconde en copias alteradas que funcionan igual que la original, copia la contraseña de verificación en dos pasos en texto claro cuando la persona la escribe y con esa clave puede cerrar las sesiones del dueño, cambiar el número vinculado o borrar la cuenta.
The Hacker News publicó el caso el 26 de octubre de 2026 a partir del análisis del investigador Ovi, difundido el 21 de octubre. uCreator no es un virus suelto: es un paquete comercial que sus operadores alquilan, con consola en la nube y módulos por aplicación. Su marca de venta es YingGai y el código trae soporte para unas 20 aplicaciones, entre mensajería y billeteras.
Una copia fiel que trabaja para otro dueño
La trampa arranca fuera de las tiendas oficiales. Las copias alteradas llegan por instalación directa desde páginas y tiendas de terceros, empujadas con engaños y anuncios. Doctor Web ya había visto ese patrón en 2025: copias de Telegram X promocionadas como aplicación de citas, repartidas incluso por APKPure, ApkSum y AndroidP. Una figuraba en APKPure con el nombre del desarrollador oficial, pero su firma era otra.
Por dentro, el mecanismo es más fino que una pantalla falsa. Ovi detalló que el paquete usa herramientas conocidas (VirtualApp, LSPatch y Pine) para meter código ajeno dentro del proceso de la aplicación verdadera, sin pedir acceso total al teléfono. No dibuja una ventana encima para pescar la clave: observa la aplicación real con la sesión abierta, lee su base de datos con los permisos de ella y abre un servidor local de órdenes dentro de la copia. El instalador llega casi vacío, porque el módulo contra cada aplicación se descarga después.
Esa misma ruta sirve para WeChat con un contenedor propio, Onion Box, que corre la aplicación intacta en un entorno separado. Desde ahí, una orden copia la identidad de acceso, comprime los datos de la cuenta, los sube y ejecuta un guion que la clona en manos del operador.
Telegram cae por su contraseña y WeChat por clonación
El golpe a Telegram pasa por un instante muy concreto. La contraseña de verificación en dos pasos se escribe dentro de la aplicación y sirve para generar la prueba de acceso; el código espía intercepta ese paso y se queda con la contraseña legible antes del cifrado. Otras piezas ocultan la sesión del atacante en la lista de dispositivos que la copia alterada enseña a la víctima, para que el dueño no vea al intruso en su cuenta.
Ese componente tiene familia conocida. The Hacker News comparó los dos informes y encontró la misma coincidencia: el módulo de Telegram comparte espacio de nombres (com.ucreator.tgjar), servidor de control y órdenes con Baohuo, la puerta trasera que Doctor Web documentó en octubre de 2025 en copias de Telegram X. Esa firma estimó entonces más de 58.000 dispositivos infectados, con India al frente (22,8 %), Brasil (20,5 %) e Indonesia (9,6 %). Ovi aclara que su trabajo mide capacidad técnica, no víctimas: en un servidor vio datos de personas en China y en Estados Unidos.
Detrás del paquete hay una operación con empleados, no un aficionado. Ovi y otro investigador, Jurre, hallaron el código del panel en un servidor GitLab expuesto: una consola en la nube que comerciantes y revendedores alquilan, donde cada orden lleva el identificador del cliente y un programador fija horarios y topes diarios aleatorios para que la actividad parezca humana. El historial muestra a unas tres decenas de desarrolladores en horario de China, con cambios todavía en octubre de 2026.
El mapa de objetivos explica el interés económico que Ovi le atribuye. El programa espía uCreator no se limita a cuentas de Telegram: el código apunta a billeteras y mensajería de China y del sudeste asiático (WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash y MoMo), con funciones para interceptar códigos de un solo uso, extraer datos y falsificar la cámara en verificaciones de identidad. Por ahora solo ha publicado el código de Telegram y de WeChat.
Señales en el teléfono y defensa práctica con Android 17
Dos rastros delatan a las copias alteradas, y Ovi los califica de fiables: un archivo llamado TgJarPine.dex en algunas copias de Telegram y la copia del original que LSPatch deja en cache/lspatch/origin. Para el resto, la defensa es más simple: instalar solo desde Google Play o la página oficial, desconfiar de versiones regaladas fuera de tienda y revisar las sesiones desde una copia limpia.
Ni el teléfono más nuevo cierra el tema por completo. Ovi probó el motor en un Pixel 10 Pro con Android 17 y el código no encontró una función interna que necesita. Otra herramienta, Frida, sí logró enganchar aplicaciones en ese teléfono, así que el investigador lo describe como trabajo extra para los creadores del paquete, no como una muralla. La muestra más reciente, del 29 de julio de 2026, todavía cargaba el motor viejo.
El rastro público del negocio también se apaga a pedazos. The Hacker News revisó los dominios el 23 de octubre y varios servidores de control y de descarga ya no respondían, aunque el de subida de versiones seguía activo. La línea de producto aparece en registros desde septiembre de 2021: cinco años vendiendo acceso ajeno.
Fuente: The Hacker News
Foto: The Hacker News
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
