Bộ công cụ gián điệp uCreator cho phép kẻ tấn công can thiệp trực tiếp vào ứng dụng Telegram trên Android để thu thập tin nhắn, lấy mật khẩu xác minh hai bước và kiểm soát tài khoản. Với WeChat, bộ công cụ sử dụng cơ chế chạy ứng dụng trong môi trường container để thu thập dữ liệu và hỗ trợ nhân bản tài khoản. Đáng chú ý, uCreator được vận hành theo mô hình cho thuê, giúp nhiều khách hàng sử dụng chung nền tảng tấn công.
Tổng quan về uCreator
Bộ công cụ gián điệp Android được nhà nghiên cứu bảo mật Ovi phân tích. Báo cáo kỹ thuật của Ovi được công bố ngày 21/10/2026, mô tả cách bộ công cụ này can thiệp vào Telegram và WeChat nhằm thu thập dữ liệu, đánh cắp thông tin xác thực và chiếm quyền tài khoản.
Khác với các ứng dụng gián điệp hoạt động độc lập, uCreator tập trung vào việc đưa mã độc vào ứng dụng nhắn tin đang hoạt động hoặc chạy ứng dụng bên trong một môi trường do kẻ tấn công kiểm soát. Cách tiếp cận này giúp mã độc tiếp cận dữ liệu và chức năng của ứng dụng mục tiêu trong quá trình người dùng sử dụng bình thường.
Khác với các ứng dụng gián điệp hoạt động độc lập, uCreator tập trung vào việc đưa mã độc vào ứng dụng nhắn tin đang hoạt động hoặc chạy ứng dụng bên trong một môi trường do kẻ tấn công kiểm soát. Cách tiếp cận này giúp mã độc tiếp cận dữ liệu và chức năng của ứng dụng mục tiêu trong quá trình người dùng sử dụng bình thường.
Đối với Telegram, mã độc được tích hợp vào các bản ứng dụng Android đã bị chỉnh sửa. Với WeChat, bộ công cụ có thể sử dụng ứng dụng container có tên Onion Box để chạy ứng dụng trong môi trường ảo hóa.
Một điểm quan trọng là uCreator được cung cấp dưới dạng bộ công cụ cho thuê. Khách hàng có thể sử dụng giao diện quản lý và hạ tầng điều khiển có sẵn, thay vì phải tự xây dựng toàn bộ mã độc, máy chủ điều khiển và hệ thống quản lý thiết bị.
Phương thức phát tán và kiến trúc hoạt động
Phát tán thông qua ứng dụng Android bị chỉnh sửa
Theo phân tích, một trong những con đường lây nhiễm là người dùng tải và cài đặt tệp APK từ website hoặc kho ứng dụng bên thứ ba. Các bản Telegram hoặc Telegram X bị can thiệp có thể vẫn mở được, đăng nhập và cung cấp những chức năng thông thường, khiến người dùng khó nhận ra sự hiện diện của mã độc.
Đáng chú ý, một số bản giả mạo sử dụng cùng tên gói ứng dụng với bản Telegram X hợp pháp. Vì vậy, chỉ kiểm tra tên ứng dụng hoặc biểu tượng không đủ để xác định tính xác thực. Chữ ký số của gói cài đặt là một yếu tố quan trọng để phân biệt ứng dụng chính hãng với bản đã bị chỉnh sửa.
Báo cáo cũng ghi nhận việc phát tán thông qua quảng cáo dẫn đến các website giả mạo cửa hàng ứng dụng. Tuy nhiên, chưa xác định được phương thức lây nhiễm của tất cả nạn nhân.
Đáng chú ý, một số bản giả mạo sử dụng cùng tên gói ứng dụng với bản Telegram X hợp pháp. Vì vậy, chỉ kiểm tra tên ứng dụng hoặc biểu tượng không đủ để xác định tính xác thực. Chữ ký số của gói cài đặt là một yếu tố quan trọng để phân biệt ứng dụng chính hãng với bản đã bị chỉnh sửa.
Báo cáo cũng ghi nhận việc phát tán thông qua quảng cáo dẫn đến các website giả mạo cửa hàng ứng dụng. Tuy nhiên, chưa xác định được phương thức lây nhiễm của tất cả nạn nhân.
Mã độc được nạp sau khi cài đặt
Một đặc điểm đáng chú ý của uCreator là một phần mã dành cho ứng dụng mục tiêu được tải xuống sau khi cài đặt, thay vì toàn bộ thành phần cần thiết đều nằm sẵn trong tệp APK ban đầu.
Thiết kế này khiến việc chỉ phân tích tệp cài đặt có thể không đủ để nhận diện toàn bộ chức năng của bộ công cụ. Nhà nghiên cứu cần kiểm tra thêm các thành phần được tải xuống, hành vi của ứng dụng khi chạy và kết nối mạng phát sinh trong quá trình hoạt động.
Trong bản Telegram bị can thiệp, mã của uCreator khởi chạy cùng ứng dụng và hoạt động dưới danh tính, quyền truy cập của ứng dụng đó. Cơ chế này tạo điều kiện để mã độc tương tác với dữ liệu và các chức năng mà ứng dụng đã được cấp quyền sử dụng.
Thiết kế này khiến việc chỉ phân tích tệp cài đặt có thể không đủ để nhận diện toàn bộ chức năng của bộ công cụ. Nhà nghiên cứu cần kiểm tra thêm các thành phần được tải xuống, hành vi của ứng dụng khi chạy và kết nối mạng phát sinh trong quá trình hoạt động.
Trong bản Telegram bị can thiệp, mã của uCreator khởi chạy cùng ứng dụng và hoạt động dưới danh tính, quyền truy cập của ứng dụng đó. Cơ chế này tạo điều kiện để mã độc tương tác với dữ liệu và các chức năng mà ứng dụng đã được cấp quyền sử dụng.
Hai hướng tiếp cận đối với Telegram và WeChat
Kiến trúc của uCreator có sự khác biệt giữa hai ứng dụng mục tiêu:
- Telegram: Mã độc được tích hợp vào bản ứng dụng đã chỉnh sửa, sau đó can thiệp vào hoạt động bên trong ứng dụng.
- WeChat: Bộ công cụ có thể sử dụng môi trường container để chạy ứng dụng, kiểm soát quá trình đăng nhập và thu thập dữ liệu từ môi trường đó.
Cả hai hướng đều nhằm tận dụng trạng thái đăng nhập và các chức năng hợp pháp của ứng dụng để phục vụ việc thu thập dữ liệu. Tuy nhiên, cơ chế kỹ thuật không hoàn toàn giống nhau, do đó không nên mặc định mọi chức năng của uCreator đều hoạt động đồng nhất trên cả hai nền tảng.
Cơ chế đánh cắp mật khẩu xác minh hai bước trên Telegram
Đây là một trong những chức năng đáng chú ý nhất của uCreator.
Can thiệp vào luồng xử lý mật khẩu
Telegram hỗ trợ xác minh hai bước bằng mật khẩu bổ sung ngoài mã đăng nhập. Trong quá trình xác thực, ứng dụng cần xử lý mật khẩu để tạo bằng chứng xác minh gửi tới hệ thống.
Theo phân tích của Ovi, uCreator can thiệp vào bước xử lý này và sao chép mật khẩu ở dạng có thể đọc được trước khi ứng dụng thực hiện thao tác băm mật khẩu.
Điểm khác biệt nằm ở vị trí mã độc thu thập thông tin. Thay vì chỉ cố gắng đọc dữ liệu từ bên ngoài ứng dụng hoặc đánh cắp một thông báo xác thực, mã độc quan sát dữ liệu ngay tại thời điểm ứng dụng đang xử lý thông tin đăng nhập.
Điều đó cho phép nó lấy được mật khẩu xác minh hai bước trong trường hợp người dùng nhập mật khẩu vào ứng dụng đã bị can thiệp.
Theo phân tích của Ovi, uCreator can thiệp vào bước xử lý này và sao chép mật khẩu ở dạng có thể đọc được trước khi ứng dụng thực hiện thao tác băm mật khẩu.
Điểm khác biệt nằm ở vị trí mã độc thu thập thông tin. Thay vì chỉ cố gắng đọc dữ liệu từ bên ngoài ứng dụng hoặc đánh cắp một thông báo xác thực, mã độc quan sát dữ liệu ngay tại thời điểm ứng dụng đang xử lý thông tin đăng nhập.
Điều đó cho phép nó lấy được mật khẩu xác minh hai bước trong trường hợp người dùng nhập mật khẩu vào ứng dụng đã bị can thiệp.
Vì sao cơ chế này nguy hiểm?
Các cơ chế băm mật khẩu giúp hạn chế việc khôi phục mật khẩu từ dữ liệu băm trong nhiều tình huống. Tuy nhiên, chúng không ngăn được mã độc lấy mật khẩu trước khi quá trình băm diễn ra.
Nói cách khác, bảo vệ mật khẩu trong quá trình lưu trữ hoặc truyền tải không giải quyết triệt để nguy cơ khi chính ứng dụng đầu cuối đã bị kiểm soát.
Sau khi thu thập thông tin xác thực, mã độc có thể hỗ trợ các thao tác quản lý tài khoản như xử lý phiên đăng nhập, thay đổi số điện thoại liên kết hoặc xóa tài khoản. Mã còn có chức năng được thiết kế để duy trì phiên của kẻ tấn công trong khi hạn chế khả năng phát hiện của chủ tài khoản.
Tuy nhiên, cần phân biệt giữa chức năng có trong mã và một cuộc chiếm quyền tài khoản đã được chứng minh hoàn tất. Báo cáo của Ovi mô tả năng lực kỹ thuật của bộ công cụ, không xác nhận rằng mọi chức năng đều đã được sử dụng thành công trên nạn nhân thực tế.
Nói cách khác, bảo vệ mật khẩu trong quá trình lưu trữ hoặc truyền tải không giải quyết triệt để nguy cơ khi chính ứng dụng đầu cuối đã bị kiểm soát.
Sau khi thu thập thông tin xác thực, mã độc có thể hỗ trợ các thao tác quản lý tài khoản như xử lý phiên đăng nhập, thay đổi số điện thoại liên kết hoặc xóa tài khoản. Mã còn có chức năng được thiết kế để duy trì phiên của kẻ tấn công trong khi hạn chế khả năng phát hiện của chủ tài khoản.
Tuy nhiên, cần phân biệt giữa chức năng có trong mã và một cuộc chiếm quyền tài khoản đã được chứng minh hoàn tất. Báo cáo của Ovi mô tả năng lực kỹ thuật của bộ công cụ, không xác nhận rằng mọi chức năng đều đã được sử dụng thành công trên nạn nhân thực tế.
Che giấu phiên đăng nhập trái phép
Một khả năng khác được ghi nhận là mã độc có thể ẩn phiên của kẻ tấn công khỏi danh sách thiết bị mà bản Telegram đã bị chỉnh sửa hiển thị cho người dùng.
Đây là hành vi đáng lưu ý vì người dùng thường kiểm tra danh sách phiên hoạt động để phát hiện truy cập trái phép. Nếu giao diện hiển thị đã bị can thiệp, thông tin mà người dùng nhìn thấy có thể không phản ánh chính xác trạng thái tài khoản.
Báo cáo chưa xác định liệu phiên bị che giấu trong ứng dụng đã chỉnh sửa có luôn xuất hiện trên các thiết bị khác đang chạy Telegram chính hãng hay không. Vì vậy, không nên suy luận rằng mọi phương thức kiểm tra phiên đều bị vô hiệu hóa.
Đây là hành vi đáng lưu ý vì người dùng thường kiểm tra danh sách phiên hoạt động để phát hiện truy cập trái phép. Nếu giao diện hiển thị đã bị can thiệp, thông tin mà người dùng nhìn thấy có thể không phản ánh chính xác trạng thái tài khoản.
Báo cáo chưa xác định liệu phiên bị che giấu trong ứng dụng đã chỉnh sửa có luôn xuất hiện trên các thiết bị khác đang chạy Telegram chính hãng hay không. Vì vậy, không nên suy luận rằng mọi phương thức kiểm tra phiên đều bị vô hiệu hóa.
Thu thập dữ liệu và nhân bản tài khoản WeChat
Với WeChat, uCreator có thể chạy ứng dụng trong môi trường container do bộ công cụ kiểm soát. Một ứng dụng container như Onion Box tạo lớp trung gian giữa người dùng và ứng dụng nhắn tin được chạy bên trong.
Theo phân tích, bộ công cụ có khả năng thu thập thông tin định danh đăng nhập, đóng gói dữ liệu ứng dụng và tải dữ liệu lên máy chủ từ xa. Một tập lệnh đăng nhập đi kèm được sử dụng để hỗ trợ nhân bản tài khoản.
Điểm cần phân biệt là cách tiếp cận này không chỉ nhắm tới việc đọc một số tin nhắn riêng lẻ. Nó còn hướng đến việc thu thập dữ liệu tài khoản và hỗ trợ tái tạo trạng thái tài khoản trong một môi trường khác.
Mã nguồn phía máy chủ được nhà nghiên cứu tìm thấy cũng cho thấy nền tảng hỗ trợ quản lý tài khoản WeChat cá nhân và WeCom, dịch vụ phục vụ liên lạc và cộng tác trong tổ chức.
Các chức năng được mô tả gồm thu thập danh bạ, dữ liệu hồ sơ, sao lưu tài khoản, lấy thông tin xác thực đăng nhập và tự động thêm bạn bè hàng loạt. Những khả năng này có thể bị lợi dụng để mở rộng phạm vi tiếp cận, thu thập dữ liệu hoặc phục vụ các hoạt động gian lận.
Dù vậy, việc mã nguồn hỗ trợ những chức năng trên không đồng nghĩa tất cả chức năng đã được triển khai thành công trong các chiến dịch thực tế.
Theo phân tích, bộ công cụ có khả năng thu thập thông tin định danh đăng nhập, đóng gói dữ liệu ứng dụng và tải dữ liệu lên máy chủ từ xa. Một tập lệnh đăng nhập đi kèm được sử dụng để hỗ trợ nhân bản tài khoản.
Điểm cần phân biệt là cách tiếp cận này không chỉ nhắm tới việc đọc một số tin nhắn riêng lẻ. Nó còn hướng đến việc thu thập dữ liệu tài khoản và hỗ trợ tái tạo trạng thái tài khoản trong một môi trường khác.
Mã nguồn phía máy chủ được nhà nghiên cứu tìm thấy cũng cho thấy nền tảng hỗ trợ quản lý tài khoản WeChat cá nhân và WeCom, dịch vụ phục vụ liên lạc và cộng tác trong tổ chức.
Các chức năng được mô tả gồm thu thập danh bạ, dữ liệu hồ sơ, sao lưu tài khoản, lấy thông tin xác thực đăng nhập và tự động thêm bạn bè hàng loạt. Những khả năng này có thể bị lợi dụng để mở rộng phạm vi tiếp cận, thu thập dữ liệu hoặc phục vụ các hoạt động gian lận.
Dù vậy, việc mã nguồn hỗ trợ những chức năng trên không đồng nghĩa tất cả chức năng đã được triển khai thành công trong các chiến dịch thực tế.
Hạ tầng điều khiển và mô hình mã độc cho thuê
Phân tích của Ovi và nhà nghiên cứu Jurre còn phát hiện mã nguồn phía máy chủ của bộ công cụ trên một máy chủ GitLab tự lưu trữ. Đây là thành phần giúp làm rõ cách uCreator được tổ chức và vận hành.
Quản lý nhiều khách hàng trên cùng nền tảng
Hệ thống có giao diện quản lý dành cho các đơn vị thuê hoặc bán lại bộ công cụ. Các lệnh được gắn với mã khách hàng tương ứng, giúp phân tách hoạt động của từng khách hàng trong hệ thống.
Kiến trúc này cho phép nhà cung cấp duy trì nền tảng tập trung trong khi nhiều khách hàng cùng sử dụng các chức năng thu thập dữ liệu và điều khiển thiết bị.
Thay vì phải phát triển một hệ thống riêng cho mỗi chiến dịch, người vận hành có thể sử dụng các chức năng đã được đóng gói, từ quản lý mục tiêu đến điều phối lệnh và theo dõi dữ liệu thu thập.
Kiến trúc này cho phép nhà cung cấp duy trì nền tảng tập trung trong khi nhiều khách hàng cùng sử dụng các chức năng thu thập dữ liệu và điều khiển thiết bị.
Thay vì phải phát triển một hệ thống riêng cho mỗi chiến dịch, người vận hành có thể sử dụng các chức năng đã được đóng gói, từ quản lý mục tiêu đến điều phối lệnh và theo dõi dữ liệu thu thập.
Điều phối thiết bị và tự động hóa hành vi
Mã nguồn được tìm thấy cho thấy hệ thống có thể điều phối hoạt động trên các thiết bị do người vận hành kiểm soát và thiết bị của mục tiêu. Lịch trình thực thi, giới hạn hoạt động hằng ngày và ngân sách cho từng tài khoản có thể được cấu hình.
Một số chức năng được thiết kế để tự động hóa tương tác tài khoản, chẳng hạn thêm bạn bè hàng loạt và điều chỉnh tần suất hoạt động. Việc thiết lập giới hạn và khoảng thời gian hoạt động có thể giúp các thao tác tự động ít bất thường hơn, đồng thời hỗ trợ mở rộng quy mô vận hành.
Đối với đội ngũ phòng thủ, phát hiện mối đe dọa vì thế không nên chỉ dựa vào một hành vi đơn lẻ. Việc đối chiếu nhiều dấu hiệu như đăng nhập bất thường, thay đổi thông tin tài khoản, hoạt động kết bạn hàng loạt và lưu lượng truyền dữ liệu có thể cung cấp bức tranh rõ hơn.
Một số chức năng được thiết kế để tự động hóa tương tác tài khoản, chẳng hạn thêm bạn bè hàng loạt và điều chỉnh tần suất hoạt động. Việc thiết lập giới hạn và khoảng thời gian hoạt động có thể giúp các thao tác tự động ít bất thường hơn, đồng thời hỗ trợ mở rộng quy mô vận hành.
Đối với đội ngũ phòng thủ, phát hiện mối đe dọa vì thế không nên chỉ dựa vào một hành vi đơn lẻ. Việc đối chiếu nhiều dấu hiệu như đăng nhập bất thường, thay đổi thông tin tài khoản, hoạt động kết bạn hàng loạt và lưu lượng truyền dữ liệu có thể cung cấp bức tranh rõ hơn.
Giới hạn của bằng chứng
Nhà nghiên cứu ghi nhận lịch sử mã nguồn có dấu vết của khoảng ba chục nhà phát triển. Tuy nhiên, thông tin này không đủ để xác định chính xác quy mô tổ chức đứng sau bộ công cụ hoặc vai trò của từng cá nhân.
Tương tự, những liên hệ giữa hạ tầng, website thương hiệu và một số doanh nghiệp tại tỉnh Hồ Nam, Trung Quốc được mô tả trong báo cáo vẫn chưa chứng minh được quyền sở hữu chung hoặc trách nhiệm trực tiếp đối với từng chiến dịch tấn công.
Tương tự, những liên hệ giữa hạ tầng, website thương hiệu và một số doanh nghiệp tại tỉnh Hồ Nam, Trung Quốc được mô tả trong báo cáo vẫn chưa chứng minh được quyền sở hữu chung hoặc trách nhiệm trực tiếp đối với từng chiến dịch tấn công.
Mối liên hệ với cửa hậu Baohuo
Phần mã độc nhắm vào Telegram có nhiều điểm trùng khớp với cửa hậu Android Baohuo được Doctor Web công bố vào tháng 10/2025.
Các điểm tương đồng được The Hacker News đối chiếu gồm không gian tên mã <span>com.ucreator.tgjar</span>, máy chủ điều khiển và các tên lệnh tương ứng.
Doctor Web từng ước tính hơn 58.000 thiết bị bị nhiễm các bản Telegram X đã bị chỉnh sửa có chứa Baohuo. Chiến dịch được mô tả có liên quan đến việc phát tán ứng dụng giả mạo từ giữa năm 2024.
Tuy nhiên, con số hơn 58.000 thiết bị thuộc báo cáo Baohuo trước đó, không phải thống kê số nạn nhân đã được xác nhận của uCreator. Cũng chưa rõ các chiến dịch này do nhà phát triển bộ công cụ trực tiếp thực hiện hay do một khách hàng thuê công cụ tiến hành.
Mối liên hệ kỹ thuật cho thấy mã độc Android nhắm vào Telegram có thể được tái sử dụng hoặc phát triển thành một phần của nền tảng lớn hơn. Đây cũng là lý do việc theo dõi các họ mã độc cần dựa trên mã nguồn, hạ tầng, hành vi và dấu hiệu kỹ thuật thay vì chỉ dựa vào tên gọi.
Các điểm tương đồng được The Hacker News đối chiếu gồm không gian tên mã <span>com.ucreator.tgjar</span>, máy chủ điều khiển và các tên lệnh tương ứng.
Doctor Web từng ước tính hơn 58.000 thiết bị bị nhiễm các bản Telegram X đã bị chỉnh sửa có chứa Baohuo. Chiến dịch được mô tả có liên quan đến việc phát tán ứng dụng giả mạo từ giữa năm 2024.
Tuy nhiên, con số hơn 58.000 thiết bị thuộc báo cáo Baohuo trước đó, không phải thống kê số nạn nhân đã được xác nhận của uCreator. Cũng chưa rõ các chiến dịch này do nhà phát triển bộ công cụ trực tiếp thực hiện hay do một khách hàng thuê công cụ tiến hành.
Mối liên hệ kỹ thuật cho thấy mã độc Android nhắm vào Telegram có thể được tái sử dụng hoặc phát triển thành một phần của nền tảng lớn hơn. Đây cũng là lý do việc theo dõi các họ mã độc cần dựa trên mã nguồn, hạ tầng, hành vi và dấu hiệu kỹ thuật thay vì chỉ dựa vào tên gọi.
Dấu hiệu nhận diện và hướng điều tra
Báo cáo kỹ thuật đề cập một số dấu hiệu có thể hỗ trợ điều tra thiết bị nghi nhiễm:
- Tệp <span>TgJarPine.dex</span> trong thư mục tài nguyên của một số bản Telegram bị chỉnh sửa.
- Bản APK gốc được lưu tại đường dẫn <span>cache/lspatch/origin/*.apk</span> trên thiết bị sử dụng cơ chế vá ứng dụng liên quan.
Các dấu hiệu này cần được diễn giải thận trọng. Tệp APK trong thư mục của LSPatch không phải bằng chứng độc lập xác nhận nhiễm uCreator, bởi công cụ LSPatch cũng có thể xuất hiện trong các trường hợp sử dụng khác.
Đối với phân tích tĩnh, đội ngũ ứng cứu có thể kiểm tra chữ ký số, mã băm tệp, tên gói ứng dụng, các thành phần được nạp động và sự hiện diện của mã không thuộc bản phát hành chính thức.
Đối với phân tích động, cần xem xét các kết nối tới máy chủ điều khiển, hành vi truy cập cơ sở dữ liệu ứng dụng, thao tác xử lý thông tin xác thực và các hoạt động truyền dữ liệu bất thường.
Một số tên miền được báo cáo liên quan đến hạ tầng uCreator đã không còn phân giải DNS tại thời điểm The Hacker News kiểm tra ngày 23/10/2026. Do hạ tầng có thể thay đổi hoặc bị ngừng hoạt động, các chỉ báo mạng cần được đối chiếu với dữ liệu tình báo mối đe dọa cập nhật trước khi sử dụng để chặn hoặc kết luận nhiễm mã độc.
Các mục tiêu tiềm năng của uCreator, dù chưa được xác nhận, được cho là người dùng ví điện tử và ứng dụng nhắn tin tại Trung Quốc và Đông Nam Á. Danh sách ứng dụng liên quan bao gồm WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash và MoMo.
Lưu ý: Các nhà nghiên cứu phát hiện mã nguồn hỗ trợ khoảng 20 ứng dụng. Tuy nhiên, đến nay, mã phân tích kỹ thuật mới được công bố đối với Telegram và WeChat. Vì vậy, chưa thể khẳng định các ứng dụng còn lại đã bị uCreator tấn công trên thực tế.
Đối với phân tích tĩnh, đội ngũ ứng cứu có thể kiểm tra chữ ký số, mã băm tệp, tên gói ứng dụng, các thành phần được nạp động và sự hiện diện của mã không thuộc bản phát hành chính thức.
Đối với phân tích động, cần xem xét các kết nối tới máy chủ điều khiển, hành vi truy cập cơ sở dữ liệu ứng dụng, thao tác xử lý thông tin xác thực và các hoạt động truyền dữ liệu bất thường.
Một số tên miền được báo cáo liên quan đến hạ tầng uCreator đã không còn phân giải DNS tại thời điểm The Hacker News kiểm tra ngày 23/10/2026. Do hạ tầng có thể thay đổi hoặc bị ngừng hoạt động, các chỉ báo mạng cần được đối chiếu với dữ liệu tình báo mối đe dọa cập nhật trước khi sử dụng để chặn hoặc kết luận nhiễm mã độc.
Các mục tiêu tiềm năng của uCreator, dù chưa được xác nhận, được cho là người dùng ví điện tử và ứng dụng nhắn tin tại Trung Quốc và Đông Nam Á. Danh sách ứng dụng liên quan bao gồm WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash và MoMo.
Lưu ý: Các nhà nghiên cứu phát hiện mã nguồn hỗ trợ khoảng 20 ứng dụng. Tuy nhiên, đến nay, mã phân tích kỹ thuật mới được công bố đối với Telegram và WeChat. Vì vậy, chưa thể khẳng định các ứng dụng còn lại đã bị uCreator tấn công trên thực tế.
Khuyến cáo phòng ngừa
Đối với người dùng Android, biện pháp quan trọng nhất là chỉ cài ứng dụng từ nguồn chính thức, tránh các tệp APK được quảng bá là bản nâng cấp, bản đặc biệt hoặc phiên bản có thêm tính năng. Tên gói ứng dụng giống bản hợp pháp không bảo đảm tệp cài đặt là an toàn.
Người dùng cũng nên tránh đăng nhập tài khoản cá nhân thông qua ứng dụng container không rõ nguồn gốc. Khi nghi ngờ ứng dụng bị chỉnh sửa, cần kiểm tra phiên đăng nhập từ một thiết bị đáng tin cậy, thu hồi các phiên không nhận diện được và bảo vệ lại thông tin xác thực. Nếu tài khoản đã bị chiếm quyền hoặc thông tin liên kết bị thay đổi, cần liên hệ kênh hỗ trợ chính thức của dịch vụ.
Với tổ chức, cần bổ sung kiểm soát đối với việc cài APK ngoài danh mục cho phép, giám sát ứng dụng có chữ ký số không khớp với bản phát hành được phê duyệt và rà soát hành vi truyền dữ liệu bất thường. Đội ngũ ứng cứu nên lưu giữ mẫu ứng dụng, mã băm, nhật ký thiết bị và thông tin kết nối để phục vụ điều tra.
Sự vụ uCreator cho thấy xác thực hai bước vẫn có thể bị vô hiệu hóa về mặt thực tế khi mã độc kiểm soát chính ứng dụng xử lý thông tin đăng nhập. Vì vậy, bảo vệ tài khoản không thể chỉ dựa vào mật khẩu mạnh hoặc bật 2FA, mà còn phải bảo đảm tính toàn vẹn của ứng dụng và môi trường thiết bị nơi thông tin xác thực được nhập, xử lý.
Người dùng cũng nên tránh đăng nhập tài khoản cá nhân thông qua ứng dụng container không rõ nguồn gốc. Khi nghi ngờ ứng dụng bị chỉnh sửa, cần kiểm tra phiên đăng nhập từ một thiết bị đáng tin cậy, thu hồi các phiên không nhận diện được và bảo vệ lại thông tin xác thực. Nếu tài khoản đã bị chiếm quyền hoặc thông tin liên kết bị thay đổi, cần liên hệ kênh hỗ trợ chính thức của dịch vụ.
Với tổ chức, cần bổ sung kiểm soát đối với việc cài APK ngoài danh mục cho phép, giám sát ứng dụng có chữ ký số không khớp với bản phát hành được phê duyệt và rà soát hành vi truyền dữ liệu bất thường. Đội ngũ ứng cứu nên lưu giữ mẫu ứng dụng, mã băm, nhật ký thiết bị và thông tin kết nối để phục vụ điều tra.
Sự vụ uCreator cho thấy xác thực hai bước vẫn có thể bị vô hiệu hóa về mặt thực tế khi mã độc kiểm soát chính ứng dụng xử lý thông tin đăng nhập. Vì vậy, bảo vệ tài khoản không thể chỉ dựa vào mật khẩu mạnh hoặc bật 2FA, mà còn phải bảo đảm tính toàn vẹn của ứng dụng và môi trường thiết bị nơi thông tin xác thực được nhập, xử lý.
