Telegramの2段階認証は、不正アクセスからアカウントを守るためのものだが、商用Androidスパイウェアキットによって、アカウントの保護に使われるパスワードが傍受される可能性がある。
uCreatorと呼ばれるこのスパイウェアは、Telegram Xを含む正規Androidアプリの改変版に悪意あるコードを埋め込んで隠す。セキュリティ研究者のOviによると、アプリがパスワードをハッシュ化する前にTelegramの2段階認証パスワードを取得できるため、攻撃者がTelegramのサーバーを侵害せずにアカウントを乗っ取る可能性がある。
このキットは、WeChatアカウントやその他のモバイルアプリを標的にする機能も備えている。商用レンタルモデルにより、高度なスパイウェアを自ら開発するリソースのない運用者でも、こうした攻撃を実行できる可能性がある。
uCreatorがメッセージングアプリを侵害する仕組み
リスクは、正規のアプリストア以外で配布され、ユーザーがサイドローディングしてインストールする、正規アプリに見えるアプリから始まる。
Baohuo Androidバックドアを使った同様のキャンペーンでは、2025年10月までに5万8,000台を超えるデバイスが感染していたとDoctor Webは報告している。その後Oviは、BaohuoとuCreatorを結び付けるコードとインフラを特定し、後者が商用スパイウェアキットであることを明らかにした。ただし、このつながりは、同じ運用者が両方のキャンペーンを実施したことを証明するものではない。
uCreatorが特に懸念される理由は、改変されたアプリでも通常どおり機能し、サービスの公式サーバーに接続できる点にある。これはまったく新しい手法ではない。GBWhatsAppなどの改変クライアントも、同様にユーザーをWhatsAppのサーバーへ接続できた。
では、WeChatを標的とするマルウェアは、仮想コンテナ内でアプリを実行し、アカウントデータを抽出して、アカウントの複製を可能にする。このキットのコードは、およそ20種類のメッセージングアプリとモバイルウォレットに対応しており、レンタル利用者が被害者を標的にする方法の多さを浮き彫りにしている。
このプラットフォームの主な標的には中国と東南アジアのユーザーが含まれるとみられるが、レンタルモデルによって、運用者は他の地域でも展開できる可能性がある。得られている調査結果からは、感染が発生した場合の地理的な広がり全体は明らかになっていない。
開発者とユーザーがリスクを低減する方法
uCreatorの商用レンタルモデルは、高度なモバイルスパイウェアがいかに容易に拡散し得るかについて懸念を生じさせる。こうした脅威に対抗するには、より強固なアプリケーションセキュリティ対策と、ソフトウェアをインストールする際のさらなる注意が必要だ。
開発者にとって、改変されたアプリケーションが正規サービスと通信できるという事実は、アプリケーションの完全性チェックの重要性を示している。開発者は、完全性の検証やサーバー側での検証などの対策を利用し、不正なアプリケーション改変の特定に役立てることができる。
ただし、特に攻撃者がアプリケーションの実行環境を掌握している場合、こうした防御策も万全ではない。
アプリは完全性チェックを実装して不正なコード改変を検出し、サーバー側の検証を使って、チェックに失敗したクライアントからのリクエストを拒否できる。しかし、1つのチェックだけでクライアントの安全性が保証されるわけではない。
ユーザーにとって、Androidを最新の状態に保つことは依然として重要なセキュリティ対策だ。Oviのテストでは、Android 17で導入された変更により、uCreatorがエクスプロイトを正常に実行することが難しくなった。
より広い意味での教訓は、アカウントのセキュリティが強固なパスワードや2段階認証だけに依存するものではないということだ。攻撃者が認証情報を扱うアプリケーションやデバイスを侵害すれば、正規のセキュリティ機能でさえ無力化される可能性がある。
その他のニュース：AIプラットフォーム302.aiに関連するデータ漏えいにより、設定ミスのあるクラウドストレージバケットを通じて1,760万件のファイルがアクセス可能な状態になっていた。そこには、非公開のAI会話、個人情報、業務文書などが含まれていた。