La vérification en deux étapes de Telegram est conçue pour protéger les comptes contre les accès non autorisés, mais un kit commercial de logiciels espions Android peut intercepter le mot de passe utilisé pour les sécuriser.
Le logiciel espion, appelé uCreator, dissimule du code malveillant dans des versions modifiées d’applications Android légitimes, notamment Telegram X. Selon le chercheur en sécurité Ovi, il peut capturer le mot de passe de vérification en deux étapes de Telegram avant que l’application ne le hache, ce qui pourrait permettre à des attaquants de compromettre des comptes sans s’introduire dans les serveurs de Telegram.
Le kit prend également en charge des fonctionnalités visant les comptes WeChat et d’autres applications mobiles. Son modèle de location commerciale pourrait rendre ces attaques accessibles à des opérateurs qui ne disposent pas des ressources nécessaires pour développer eux-mêmes des logiciels espions sophistiqués.
Comment uCreator compromet les applications de messagerie
Le risque commence avec des applications qui semblent légitimes, mais qui sont distribuées en dehors des boutiques d’applications officielles, où les utilisateurs les installent par installation via une source externe.
Une campagne similaire impliquant la porte dérobée Android Baohuo avait infecté plus de 58 000 appareils en octobre 2025, selon Doctor Web. Ovi a ensuite identifié du code et une infrastructure reliant Baohuo à uCreator, un kit commercial de logiciels espions, même si ce lien ne prouve pas que les mêmes opérateurs ont mené les deux campagnes.
Ce qui rend uCreator particulièrement préoccupant, c’est que ses applications trafiquées peuvent continuer à fonctionner normalement et se connecter aux serveurs officiels des services. Ce phénomène n’est pas entièrement nouveau : des clients modifiés comme GBWhatsApp ont montré une capacité similaire à connecter les utilisateurs aux serveurs de WhatsApp.
Pour WeChat, le logiciel malveillant déployé peut exécuter l’application dans un conteneur virtuel, extraire les données du compte et permettre le clonage de comptes. Le code du kit prend en charge environ 20 applications de messagerie et portefeuilles mobiles, ce qui illustre les nombreuses façons dont ses locataires peuvent cibler leurs victimes.
Les cibles apparentes de la plateforme comprennent des utilisateurs en Chine et en Asie du Sud-Est, même si son modèle de location pourrait permettre à des opérateurs de la déployer ailleurs. Les éléments disponibles ne permettent pas d’établir l’étendue géographique complète des infections qui en résultent.
Comment les développeurs et les utilisateurs peuvent réduire les risques
Le modèle de location commerciale d’uCreator soulève des inquiétudes quant à la facilité avec laquelle des logiciels espions mobiles sophistiqués pourraient se propager. Se défendre contre ces menaces nécessite des mesures de sécurité renforcées pour les applications et davantage de prudence lors de l’installation de logiciels.
Pour les développeurs, la capacité des applications modifiées à communiquer avec des services légitimes souligne l’importance des contrôles d’intégrité des applications. Les développeurs peuvent utiliser la vérification d’intégrité, la validation côté serveur et d’autres contrôles pour aider à détecter les modifications non autorisées des applications.
Cependant, ces protections ne sont pas infaillibles, en particulier lorsque les attaquants contrôlent l’environnement dans lequel une application s’exécute.
Les applications peuvent mettre en œuvre des contrôles d’intégrité pour détecter les modifications non autorisées du code et utiliser une vérification côté serveur afin de rejeter les requêtes provenant de clients qui échouent à ces contrôles. Cependant, aucun contrôle unique ne garantit qu’un client est sûr.
Pour les utilisateurs, maintenir Android à jour reste une mesure de sécurité importante. Les tests d’Ovi ont montré que les modifications introduites dans Android 17 rendaient plus difficile l’exécution réussie de l’exploit par uCreator.
La leçon plus générale est que la sécurité des comptes dépend de davantage que de mots de passe robustes et de la vérification en deux étapes. Lorsque des attaquants compromettent l’application ou l’appareil qui gère ces identifiants, même des fonctionnalités de sécurité légitimes peuvent être contournées.
Autre actualité : Une exposition de données concernant la plateforme d’IA 302.ai a rendu 17,6 millions de fichiers accessibles via un compartiment de stockage cloud mal configuré, notamment des conversations privées avec une IA, des informations personnelles et des documents professionnels.