uCreator ชุดสปายแวร์แอนดรอยด์ให้เช่าจากจีน ซ่อนโค้ดในแอป Telegram และ WeChat ปลอม — ยึดบัญชีได้ทั้งบัญชี เชื่อมโยงกับ Baohuo ที่เคยติดเครื่องกว่า 58,000 เครื่อง

สรุปสั้น

uCreator คือ ชุดสปายแวร์แอนดรอยด์ที่ผู้พัฒนาเปิดให้ลูกค้าเช่าใช้ ผู้พัฒนาเรียกผลิตภัณฑ์นี้ว่า YingGai และมีร่องรอยย้อนไปถึงปี 2564 นักวิจัยที่ใช้ชื่อ Ovi เผยแพร่บทวิเคราะห์เมื่อ 21 ตุลาคม 2569 ระบุว่าชุดนี้ซ่อนโค้ดไว้ในสำเนาแอป Telegram และ WeChat ที่ยังใช้งานได้ตามปกติ เหยื่อจะติดก็ต่อเมื่อติดตั้งสำเนาแอปที่ถูกดัดแปลงซึ่งแจกนอกสโตร์ทางการ หรือรัน WeChat ในแอปคอนเทนเนอร์ของผู้พัฒนาเอง เมื่อแอปเริ่มทำงาน โค้ดแฝงจะรันด้วยสิทธิ์เดียวกับแอปที่ล็อกอินอยู่ จึงอ่านประวัติแชต ดักรหัส 2FA ของ Telegram แล้วยึดบัญชีทั้งบัญชีได้ ขณะที่ฝั่ง WeChat เน้นการคัดลอกตัวตนเพื่อโคลนบัญชีไปใช้ต่อ

The Hacker News เทียบรายงานแล้วพบว่าส่วน Telegram ของ uCreator ตรงกับ Baohuo แบ็กดอร์ที่บริษัท Doctor Web รายงานเมื่อตุลาคม 2568 ว่าติดเครื่องไปแล้วกว่า 58,000 เครื่อง ผ่านแอป Telegram X ปลอมที่โฆษณาเป็นภาษาโปรตุเกสและภาษาอินโดนีเซีย และอินโดนีเซียเป็นหนึ่งในสามประเทศที่มีเครื่องติดมากที่สุด เป้าหมายที่ยังไม่ยืนยันยังรวมถึงผู้ใช้แอปแชตและกระเป๋าเงินมือถือในจีนและเอเชียตะวันออกเฉียงใต้ เช่น LINE, Zalo, GCash และ MoMo แม้จำนวนเหยื่อจริงยังนับไม่ได้ ผู้ใช้ควรติดตั้ง Telegram และ WeChat จากสโตร์ทางการเท่านั้น และองค์กรควรห้ามติดตั้งแอปแชตจากนอกสโตร์บนอุปกรณ์ที่ใช้ทำงาน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 ตุลาคม 2569 โดยอ้างบทวิเคราะห์ของ Ovi ที่เผยแพร่เมื่อ 21 ตุลาคม และนำไปเทียบกับรายงานของ Doctor Web เมื่อปีก่อน

ไทม์ไลน์ของปฏิบัติการเรียงได้ดังนี้ ผลิตภัณฑ์ YingGai ปรากฏในบันทึกตั้งแต่กันยายน 2564 สำเนา Telegram X ที่ฝัง Baohuo เริ่มแพร่ตั้งแต่กลางปี 2567 Doctor Web รายงาน Baohuo เมื่อตุลาคม 2568 ตัวอย่างที่ Ovi ศึกษามีอายุตั้งแต่ปี 2567 ถึงตัวอย่างใหม่ล่าสุดลงวันที่ 29 กรกฎาคม 2569 และในประวัติโค้ดยังมีนักพัฒนาบางคนส่งการเปลี่ยนแปลงอยู่จนถึงตุลาคม 2569 เมื่อ The Hacker News ตรวจ DNS เมื่อ 23 ตุลาคม 2569 พบว่าโดเมนเซิร์ฟเวอร์สั่งการและโดเมนดาวน์โหลดหลายโดเมนไม่ resolve แล้ว แต่โดเมนสำหรับอัปโหลดเวอร์ชันยังชี้ไปยัง 121.37.194[.]194

ด้าน Doctor Web รายงานว่าสำเนา Baohuo แพร่ผ่านโฆษณาในแอปที่พาไปยังเว็บสโตร์ปลอม โดยโปรโมต Telegram X เป็นแอปหาคู่และวิดีโอแชต แบนเนอร์มีเฉพาะภาษาโปรตุเกสสำหรับผู้ใช้ในบราซิลและภาษาอินโดนีเซีย แต่แผนที่เครื่องที่ติดเชื้อปี 2568 กลับมีอินเดียมากที่สุดที่ 22.8% ตามด้วยบราซิล 20.5% และอินโดนีเซีย 9.6% สำเนาที่ติดเชื้อยังโผล่ในสโตร์ภายนอก ได้แก่ APKPure, ApkSum และ AndroidP โดยบน APKPure มีตัวหนึ่งลงไว้ใต้ชื่อผู้พัฒนาทางการ แม้ลายเซ็นดิจิทัลจะต่างจากของจริง Doctor Web บรรยาย Baohuo ว่าเป็น “เครื่องมือเพิ่มจำนวนผู้ติดตามช่อง Telegram”

ส่วน Ovi ได้เข้าถึงเซิร์ฟเวอร์สั่งการเครื่องหนึ่งของชุดนี้ และพบข้อมูลของเหยื่อที่ดูเหมือนอยู่ในจีนและสหรัฐฯ แต่ไม่มากพอจะนับจำนวนได้อย่างน่าเชื่อถือ เขาพบโค้ดที่รองรับราว 20 แอป ได้แก่ WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash และ MoMo แต่เผยแพร่รายละเอียดเฉพาะส่วน Telegram และ WeChat นอกจากนี้ Ovi และนักวิจัยอีกคนชื่อ Jurre ยังพบซอร์สโค้ดฝั่งหลังบ้านบนเซิร์ฟเวอร์ GitLab ที่โฮสต์เอง ซึ่งเป็นส่วนเดียวที่ไม่ได้จำกัดการเข้าถึงด้วย IP ในประวัติโค้ดมีนักพัฒนาราวสามสิบกว่าคนที่ทำงานตามเวลาประเทศจีน

ด้านผู้อยู่เบื้องหลัง Ovi โยงส่วนต่าง ๆ ของปฏิบัติการกับบริษัท 3 แห่งในมณฑลหูหนาน ประเทศจีน แห่งแรกโยงกับเว็บไซต์แบรนด์และใบรับรองเซิร์ฟเวอร์ แห่งที่สองโยงกับการจดแจ้งเว็บไซต์ต่อภาครัฐของเซิร์ฟเวอร์สั่งการ และแห่งที่สามโยงกับลายเซ็นของโปรแกรมควบคุมบน Windows แต่เขาระบุว่าการมีเจ้าของร่วมกัน “เป็นไปได้ แต่ยังไม่ได้รับการพิสูจน์”

ข้อจำกัดของหลักฐานมีหลายจุด Ovi ไม่ได้อ้างถึงงานของ Doctor Web และ Doctor Web ก็ไม่ได้เอ่ยชื่อชุดนี้ จึงยังไม่ชัดว่าแคมเปญที่ Doctor Web ติดตามดำเนินการโดยผู้พัฒนาหรือโดยลูกค้ารายใดรายหนึ่ง Ovi ยืนยันไม่ได้ว่าเหยื่อทุกรายติดเชื้อด้วยวิธีใด และย้ำว่ารายงานของเขาเป็น “การวิเคราะห์ความสามารถทางเทคนิค ไม่ใช่การวัดผลกระทบต่อเหยื่อ” รวมถึงโค้ดแสดงสิ่งที่ชุดนี้ทำได้ ไม่ได้พิสูจน์ว่ามีการใช้ทุกขั้นตอนจริงตั้งแต่ต้นจนจบ

วิธีการโจมตี

ช่องทางติดเชื้อ — สำเนาแอปที่ถูกดัดแปลงแพร่ผ่านการ sideload คือ การติดตั้งไฟล์แอปโดยตรงแทนการโหลดจากสโตร์ ร่วมกับการหลอกล่อทางสังคม อีกช่องทางหนึ่ง คือ แอปคอนเทนเนอร์ของผู้พัฒนาชื่อ 洋葱盒子 (“Onion Box”) ที่รันแอปอื่นไว้ข้างในตัวเอง สำเนา Telegram X บางตัวใช้ชื่อแพ็กเกจเดียวกับแอปจริงบน Google Play จึงดูจากชื่ออย่างเดียวไม่ออก

แฝงตัวเป็นแอปจริง — โค้ดของชุดนี้เริ่มทำงานพร้อมแอป และรันด้วยตัวตนกับสิทธิ์ของแอปเอง จึงเข้าถึงข้อมูลได้เท่ากับแอปที่ล็อกอินอยู่ แต่ละแอปที่ถูกดัดแปลงยังรันเซิร์ฟเวอร์รับคำสั่งภายในตัวเอง และโค้ดสำหรับแอปเป้าหมายแต่ละตัวถูกดาวน์โหลดหลังติดตั้ง ทำให้วิเคราะห์จากไฟล์ติดตั้งอย่างเดียวได้ยาก ชุดนี้ใช้ LSPatch เครื่องมือ patch แอปที่หาได้ทั่วไป และมี hooking engine คอยดักฟังก์ชันของแอป

ยึดบัญชี Telegram — ผู้โจมตีส่งคำค้นใดก็ได้ไปยังฐานข้อมูลข้อความของแอปและได้ประวัติแชตกลับมา รหัส 2FA ของ Telegram ที่ผู้ใช้พิมพ์ในแอปจะถูกคัดลอกออกไปในรูปข้อความอ่านได้ก่อนแอปนำไปแปลงเป็นค่า hash เมื่อได้รหัสแล้ว โค้ดสามารถรีเซ็ตเซสชันที่ล็อกอินอยู่ เปลี่ยนเบอร์โทรที่ผูกบัญชี หรือลบบัญชีได้ โค้ดบางส่วนออกแบบมาเพื่อล็อกเจ้าของออกขณะคงเซสชันของผู้โจมตีไว้ และซ่อนเซสชันของผู้โจมตีจากรายการอุปกรณ์ที่แอปดัดแปลงแสดงให้ผู้ใช้เห็น ซึ่งตรงกับที่ Doctor Web บรรยาย Baohuo ไว้ โดย Baohuo ยังส่งเบอร์โทร ชื่อ และรหัสผ่านของบัญชีไปยังเซิร์ฟเวอร์ทุก 3 นาที

โคลนบัญชี WeChat — ฝั่ง WeChat ชุดนี้ใช้การรันแอปเวอร์ชันที่ไม่ได้ดัดแปลงไว้ในคอนเทนเนอร์ของตัวเอง แล้วคัดลอกตัวตนการล็อกอินของบัญชี บีบอัดข้อมูลแอปส่งขึ้นเซิร์ฟเวอร์ และใช้สคริปต์ล็อกอินที่แนบมาโคลนบัญชี ส่วนนี้เล็งตัวบัญชี ไม่ได้เล็งประวัติแชต

หลังบ้านแบบให้เช่า — โค้ดหลังบ้านที่รั่วแสดงคอนโซลคลาวด์ที่ร้านค้าและตัวแทนจำหน่ายเช่าใช้ ทุกคำสั่งมีรหัสลูกค้ากำกับ ลูกค้าแต่ละรายจึงเลือกเหยื่อเองได้ คำสั่งถูกส่งทั้งไปยังโทรศัพท์ในฟาร์มโทรศัพท์ของปฏิบัติการและโทรศัพท์ของเหยื่อ เพื่อเก็บสิทธิ์การล็อกอิน เพิ่มเพื่อนจำนวนมาก เก็บข้อมูลผู้ติดต่อ และสำรองบัญชีทั้งบัญชี มีตัวจัดตารางเวลากำหนดช่วงทำงานและโควตารายวันแบบสุ่มให้ดูเหมือนคนจริง เพื่อหลบระบบตรวจความเสี่ยงของแพลตฟอร์ม ซึ่งโค้ดเรียกว่า “การเลี้ยงบัญชี” ส่วนที่รั่วนี้ครอบคลุม WeChat และ WeCom แต่ไม่ครอบคลุม Telegram และเป็นเพียงหนึ่งในเซิร์ฟเวอร์ GitLab หลายเครื่อง

ข้อจำกัดบน Android รุ่นใหม่ — Ovi ทดสอบ hooking engine บน Pixel 10 Pro ที่รัน Android 17 แล้วพบว่าหาฟังก์ชันภายในที่ต้องใช้ไม่เจอ เพราะ Android รุ่นใหม่เปลี่ยนฟังก์ชันนั้นไป แต่เครื่องมือ Frida ยังดักแอปแบบเดียวกันได้บนเครื่องเดียวกัน เขาจึงมองว่าเป็นแค่งานเพิ่มของผู้พัฒนา ไม่ได้พิสูจน์ว่า Android 17 กันการโจมตีได้ ตัวอย่างล่าสุดยังใช้ engine เก่า และเขายังไม่ได้ทดสอบบน Android 16 หรือโทรศัพท์จากผู้ผลิตจีน

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ ผู้ใช้แอนดรอยด์ที่ติดตั้ง Telegram, Telegram X หรือ WeChat จากนอก Google Play ทั้งจากเว็บโฆษณาและสโตร์ภายนอกอย่าง APKPure รวมถึงผู้ที่ใช้แอปคอนเทนเนอร์ของผู้พัฒนา ขนาดที่ยืนยันได้ คือ เครื่องกว่า 58,000 เครื่องที่ Doctor Web นับได้ในปี 2568 โดยอินโดนีเซียคิดเป็น 9.6% ส่วนข้อมูลจากเซิร์ฟเวอร์ของ Ovi ยังนับจำนวนเหยื่อไม่ได้

ผลที่ตามมาจริงหนักกว่าการถูกอ่านแชต เพราะผู้โจมตีได้รหัส 2FA และยึดบัญชีทั้งบัญชี ล็อกเจ้าของออก และซ่อนเซสชันของตัวเองไว้ได้ บัญชีที่ถูกยึดหรือโคลนสามารถนำไปเพิ่มผู้ติดตาม ส่งข้อความหลอกลวงคนในรายชื่อผู้ติดต่อ หรือใช้หลบระบบตรวจของแพลตฟอร์มในฐานะบัญชีที่ “ถูกเลี้ยงมาอย่างดี” Ovi ประเมินว่าชุดนี้ใช้ก่ออาชญากรรมเพื่อเงิน เพราะเน้นกระเป๋าเงินมือถือและรหัสผ่านครั้งเดียว จุดที่ทำให้น่ากังวลกว่ามัลแวร์ที่ฝังในแอปจริงรุ่นก่อน ๆ อย่าง FjordPhantom (2566) และ GodFather (2568) คือ uCreator ขายเป็นผลิตภัณฑ์ ลูกค้าจึงสั่งให้เล็งแอปใดก็ได้ที่ผู้พัฒนาเขียนโมดูลรองรับ โค้ดที่รองรับ LINE, Zalo, GCash และ MoMo บ่งชี้ว่าผู้ใช้ในภูมิภาคนี้อยู่ในขอบเขตที่ชุดนี้ถูกออกแบบมารองรับ แม้ยังไม่มีการยืนยันเหยื่อจากแอปเหล่านั้น

คำแนะนำ

• ติดตั้งแอปแชตจากสโตร์ทางการเท่านั้น — ถอนการติดตั้ง Telegram, Telegram X หรือ WeChat ที่ได้มาจากเว็บโฆษณา ลิงก์ในแชต หรือสโตร์ภายนอก แล้วติดตั้งใหม่จาก Google Play และอย่าใช้แอปคอนเทนเนอร์ที่ “รันแอปซ้อนแอป” กับบัญชีสำคัญ
• อย่าเชื่อชื่อแพ็กเกจหรือชื่อผู้พัฒนาอย่างเดียว — สำเนาปลอมบางตัวใช้ชื่อแพ็กเกจตรงกับของจริง และบางตัวลงชื่อผู้พัฒนาทางการ ให้ตรวจลายเซ็นของแอปเทียบกับของจริงเมื่อสงสัย
• ตรวจร่องรอยบนเครื่อง — Ovi ระบุว่าร่องรอยที่เชื่อถือได้มี 2 อย่าง คือ ไฟล์ TgJarPine.dex ใน assets ของสำเนา Telegram ที่ถูกดัดแปลง และสำเนาแอปต้นฉบับที่ LSPatch ทิ้งไว้ที่ cache/lspatch/origin/*.apk โดยร่องรอยที่สองอาจพบในแอปที่ถูก patch ด้วย LSPatch ด้วยเหตุผลอื่นได้เช่นกัน
• ถ้าสงสัยว่าบัญชีถูกยึด — ตรวจรายการอุปกรณ์ที่ล็อกอินจากแอป Telegram ที่ติดตั้งจากสโตร์ทางการหรือจากเครื่องอื่นที่สะอาด ไม่ใช่จากแอปบนเครื่องที่สงสัย เพราะแอปดัดแปลงซ่อนเซสชันของผู้โจมตีได้ จากนั้นยุติเซสชันที่ไม่รู้จักและเปลี่ยนรหัส 2FA บนอุปกรณ์ที่สะอาด ทั้งนี้ Ovi และ Doctor Web ยังไม่ได้ยืนยันว่าเซสชันที่ซ่อนจะเห็นได้จากแอปอื่นหรือไม่ และไม่ได้ให้ขั้นตอนกู้บัญชีที่ถูกยึดแบบนี้
• สำหรับองค์กร — บังคับนโยบาย MDM ห้ามติดตั้งแอปจากแหล่งที่ไม่รู้จักบนอุปกรณ์ที่ใช้ทำงาน และบล็อกโดเมนกับ IP ในตาราง IoCs ด้านล่างที่ระดับ DNS/firewall

Indicators of Compromise (IoCs)

indicator ถูก defang แล้ว ([.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ · Doctor Web เผยแพร่ IoCs ของ Baohuo แยกไว้อีกชุด (ดูแหล่งอ้างอิง)

แหล่งอ้างอิง

• uCreator Android Spyware Can Steal Telegram 2FA Passwords and Clone WeChat Accounts — The Hacker News
• uCreator: virtualization-based Android spyware platform targeting WeChat, Telegram and other messaging apps — 0x0v1
• Android.Backdoor.Baohuo.1.origin — Doctor Web
• Baohuo IoCs — Doctor Web (GitHub)