Die zweistufige Verifizierung von Telegram soll Konten vor unbefugtem Zugriff schützen, doch ein kommerzielles Android-Spionage-Kit kann das Passwort abfangen, mit dem sie geschützt werden.
Die Spionagesoftware namens uCreator versteckt Schadcode in modifizierten Versionen legitimer Android-Apps, darunter Telegram X. Laut dem Sicherheitsforscher Ovi kann sie das Telegram-Passwort für die zweistufige Verifizierung abfangen, bevor die Anwendung es hasht, wodurch Angreifer möglicherweise Konten kompromittieren können, ohne in die Server von Telegram einzudringen.
Das Kit unterstützt außerdem Funktionen, die auf WeChat-Konten und andere mobile Anwendungen abzielen. Sein kommerzielles Mietmodell könnte diese Angriffe auch für Betreiber zugänglich machen, denen die Ressourcen fehlen, um selbst hochentwickelte Spionagesoftware zu entwickeln.
Wie uCreator Messaging-Apps kompromittiert
Das Risiko beginnt bei Apps, die zwar legitim aussehen, aber außerhalb offizieller App-Stores verbreitet werden und von Nutzern per Sideloading installiert werden.
Eine ähnliche Kampagne mit der Android-Hintertür Baohuo hatte bis Oktober 2025 mehr als 58.000 Geräte infiziert, laut Doctor Web. Ovi identifizierte später Code und Infrastruktur, die Baohuo mit uCreator verbanden, einem kommerziellen Spionage-Kit, obwohl diese Verbindung nicht beweist, dass dieselben Betreiber hinter beiden Kampagnen standen.
Was uCreator besonders besorgniserregend macht, ist, dass die manipulierten Apps weiterhin normal funktionieren und sich mit den offiziellen Servern der Dienste verbinden können. Das ist nicht völlig neu: Modifizierte Clients wie GBWhatsApp zeigten eine ähnliche Fähigkeit, Nutzer mit den WhatsApp-Servern zu verbinden.
Bei WeChat kann die eingesetzte Malware die App in einem virtuellen Container ausführen, Kontodaten extrahieren und das Klonen von Konten unterstützen. Der Code des Kits unterstützt rund 20 Messaging-Apps und mobile Wallets – ein Hinweis auf die vielen Möglichkeiten, mit denen Mieter Opfer ins Visier nehmen können.
Zu den offenbar anvisierten Zielen der Plattform gehören Nutzer in China und Südostasien, obwohl das Mietmodell es Betreibern ermöglichen könnte, sie auch anderswo einzusetzen. Die verfügbaren Erkenntnisse geben keinen Aufschluss über die vollständige geografische Reichweite möglicher daraus resultierender Infektionen.
Wie Entwickler und Nutzer das Risiko reduzieren können
Das kommerzielle Mietmodell von uCreator gibt Anlass zur Sorge, wie leicht sich hochentwickelte mobile Spionagesoftware verbreiten könnte. Der Schutz vor diesen Bedrohungen erfordert stärkere Kontrollen für die Anwendungssicherheit und mehr Vorsicht bei der Installation von Software.
Für Entwickler unterstreicht die Fähigkeit modifizierter Anwendungen, mit legitimen Diensten zu kommunizieren, die Bedeutung von Prüfungen der Anwendungsintegrität. Entwickler können Integritätsprüfungen, serverseitige Validierungen und andere Kontrollen einsetzen, um nicht autorisierte Änderungen an Anwendungen zu erkennen.
Diese Schutzmaßnahmen sind jedoch nicht unfehlbar, insbesondere wenn Angreifer die Umgebung kontrollieren, in der eine Anwendung ausgeführt wird.
Apps können Integritätsprüfungen implementieren, um nicht autorisierte Codeänderungen zu erkennen, und serverseitige Überprüfungen verwenden, um Anfragen von Clients abzulehnen, die diese Prüfungen nicht bestehen. Allerdings garantiert keine einzelne Prüfung, dass ein Client sicher ist.
Für Nutzer bleibt es eine wichtige Sicherheitsmaßnahme, Android aktuell zu halten. Ovis Tests ergaben, dass Änderungen in Android 17 es uCreator erschwerten, seinen Exploit erfolgreich auszuführen.
Die übergeordnete Erkenntnis lautet, dass die Kontosicherheit von mehr als starken Passwörtern und einer zweistufigen Verifizierung abhängt. Wenn Angreifer die Anwendung oder das Gerät kompromittieren, die beziehungsweise das diese Zugangsdaten verarbeitet, können selbst legitime Sicherheitsfunktionen ausgehebelt werden.
Weitere Meldung: Eine Datenpanne bei der KI-Plattform 302.ai machte 17,6 Millionen Dateien über einen falsch konfigurierten Cloud-Speicher-Bucket zugänglich, darunter private KI-Unterhaltungen, persönliche Informationen und Geschäftsdokumente.