كشف باحث أمني عن أداة تجسس تجارية تُعرف باسم uCreator، قادرة على الاستيلاء على حسابات "تليجرام و"وي تشات" عبر إخفاء شيفرتها داخل نسخ معدلة من التطبيقين، وسرقة كلمات مرور التحقق بخطوتين وبيانات تسجيل الدخول، مع إمكانات للتحكم في الحسابات عن بُعد.
تستهدف أداة التجسس المخصصة لنظام أندرويد المستخدمين الذين يثبتون نسخًا معدلة من تطبيقي "تيليغرام" و"وي تشات"، يجري توزيعها خارج متاجر التطبيقات الرسمية، كما يمكنها تشغيل وي تشات داخل تطبيق حاوية خاص بمطوري الأداة.
ووفقًا لتحليل نشره الباحث الأمني Ovi في 21 أكتوبر/تشرين الأول 2026، فإن الأداة، التي تحمل اسم uCreator، ليست مجرد برمجية خبيثة تقليدية، بل حزمة تجارية قابلة للتأجير تتيح للعملاء تنفيذ عمليات استهداف عن بُعد ضد التطبيقات التي يطور صانعوها وحدات مخصصة لها.
وتتشابه الوحدة الخاصة بتطبيق "تليغرام" مع برمجية باب خلفية تُعرف باسم Baohuo، كشف عنها فريقDoctor Web في أكتوبر/تشرين الأول 2025.
وكان الفريق قد عثر عليها داخل نسخ معدلة من تطبيقTelegram X المخصص لنظام أندرويد، وقدّر آنذاك أن أكثر من 58 ألف جهاز تعرض للإصابة، بحسب تقرير نشره موقع "thehackernews" واطلعت عليه "العربية Business".
وقارن التقرير بين التقريرين، ووجد أن الوصف التقني الذي نشرته Doctor Web لبرمجية Baohuo يتضمن مساحة الأسماء البرمجية نفسها، وهيcom.ucreator.tgjar، وخادم التحكم والسيطرة نفسه، إلى جانب تطابق أسماء الأوامر مع ما ورد في تحليل Ovi.
ولم يشر تحليل Ovi، المنشور في 21 أكتوبر/تشرين الأول 2026، إلى نتائج Doctor Web السابقة، كما لم تكشف Doctor Web عن اسم الحزمة التي اكتشفتها.
ولا يزال من غير الواضح ما إذا كان مطورو الأداة أنفسهم، أو أحد عملائهم، وراء الحملة التي تتبعتها الشركة الأمنية.
من المستخدمون المعرضون للخطر؟
وجد Ovi أن النسخ المعدلة تنتشر عبر التثبيت الجانبي للتطبيقات، أي تثبيت ملفات التطبيقات مباشرة بدلًا من تنزيلها من متجر رسمي، إلى جانب أساليب الهندسة الاجتماعية التي تهدف إلى خداع المستخدمين ودفعهم إلى تثبيت البرمجيات. لكنه لم يتمكن من تحديد طريقة إصابة كل ضحية على حدة.
وتوجد وسيلة أخرى لنشر الأداة عبر تطبيق الحاوية الخاص بمطوريها، ويحمل اسم "Onion Box"، ويتيح تشغيل تطبيقات أخرى داخله.
وتستخدم بعض النسخ المعدلة من Telegram X اسم الحزمة نفسه الذي يستخدمه التطبيق الأصلي المتاح على متجر "غوغل بلاي"، ما يعني أن اسم التطبيق وحده لا يكفي لاكتشاف النسخة المزيفة.
وكانت "Doctor Web" قد رصدت انتشار نسخBaohuo منذ منتصف عام 2024، عبر إعلانات داخل التطبيقات تقود المستخدمين إلى مواقع مزيفة تشبه متاجر التطبيقات. وكانت تلك المواقع تروّج لتطبيقTelegram X بوصفه تطبيقًا للتعارف وإجراء محادثات الفيديو.
واقتصرت اللافتات الإعلانية التي رصدتها الشركة على اللغة البرتغالية لاستهداف المستخدمين في البرازيل، واللغة الإندونيسية.
ومع ذلك، أظهر توزيع الأجهزة المصابة حسب الدولة في خريطة Doctor Web لعام 2025 تصدر الهند بنسبة 22.8%، تلتها البرازيل بنسبة 20.5%، ثم إندونيسيا بنسبة 9.6%.
وعُثر أيضًا على نسخ من Baohuo في متاجر تطبيقات خارجية، من بينها APKPure وApkSum وAndroid
وفي متجر APKPure، ظهرت إحدى النسخ باسم المطور الرسمي للتطبيق، رغم اختلاف التوقيع الرقمي الخاص بها عن توقيع النسخة الأصلية.
وتمكن Ovi من الوصول إلى أحد خوادم التحكم التابعة للأداة، حيث وجد بيانات تخص ضحايا يُعتقد أنهم موجودون في الصين والولايات المتحدة، لكنها لم تكن كافية لتحديد العدد الفعلي للمصابين بصورة موثوقة.
ووصف الباحث تقريره بأنه "تحليل للإمكانات التقنية، وليس قياسًا لتأثير الهجمات في الضحايا".
وتشير الشيفرات التي عثر عليها إلى استهداف محتمل، لم يتأكد بصورة نهائية، لمستخدمي المحافظ الرقمية وتطبيقات المراسلة في الصين وجنوب شرق آسيا.
وتشمل التطبيقات التي ظهرت مؤشرات على دعمها"WeCom" و"QQ" و"واتساب" و"LINE" و"Zalo" و"KakaoTalk" و
وعثر الباحث على شيفرات تدعم نحو 20 تطبيقًا، لكنه نشر تفاصيل تقنية تخص "تليغرام" و"وي تشات" فقط.
كيف تؤثر الأداة في إصدارات أندرويد الحديثة؟
تعتمد الحزمة على محرك لربط الشيفرات بوظائف التطبيقات واعتراضها، وهي آلية تُعرف باسم "الربط البرمجي" أو Hooking، وتسمح للشيفرة الخبيثة بالتدخل في عمل التطبيق المستهدف.
واختبر Ovi هذا المحرك على هاتف Pixel 10 Pro يعمل بنظام أندرويد 17، لكنه لم يتمكن من العثور على إحدى الوظائف الداخلية التي يعتمد عليها المحرك، بسبب تغييرات طرأت على تلك الوظيفة في الإصدارات الحديثة من أندرويد.
ومع ذلك، استطاعت أداة أخرى تُعرف باسم Frida تنفيذ عمليات الربط البرمجي نفسها على الهاتف ذاته.
ولذلك، يرى Ovi أن هذه النتيجة تعني أن مطوري الحزمة قد يحتاجون إلى بذل جهد إضافي لتكييف أداتهم مع الإصدارات الحديثة، لكنها لا تثبت أن أندرويد 17 يمنع الهجوم.
ولا تزال أحدث عينة من الأداة، المؤرخة في 29 يوليو/تموز 2026، تستخدم المحرك القديم.
كما عثر الباحث على عينات جرى إعدادها للعمل مع أندرويد 16، لكنه لم يذكر أنه اختبرها على هذا الإصدار، ولم يختبر هواتف الشركات الصينية المصنعة للأجهزة.
كيف تستولي uCreator على حسابات "تليغرام"؟
وجد Ovi أن الشيفرة الخاصة بالأداة تبدأ العمل مع تشغيل نسخة تليغرام المعدلة، وتعمل باستخدام هوية التطبيق نفسه وصلاحياته، ما يمنحها إمكانية الوصول إلى البيانات التي يستطيع التطبيق المسجل دخوله الوصول إليها.
كما تحتوي كل نسخة معدلة على خادم أوامر محلي يعمل داخلها، بينما تُنزّل الشيفرات الخاصة بالتطبيق المستهدف بعد تثبيت النسخة على الجهاز.
ويجعل ذلك تحليل ملف التثبيت وحده أكثر صعوبة، لأن بعض المكونات الأساسية لا تكون موجودة فيه منذ البداية.
ويمكن للمهاجمين إرسال استعلامات إلى قاعدة بيانات الرسائل داخل التطبيق واسترجاع سجل المحادثات.
وتكمن إحدى أخطر القدرات في استهداف كلمة مرور التحقق بخطوتين (2FA) الخاصة بتطبيق تيليغرام. فعندما يدخل المستخدم كلمة المرور داخل التطبيق، تُستخدم لإنشاء إثبات تسجيل دخول على الهاتف.
وتعترض الأداة هذه العملية وتنسخ كلمة المرور بصيغتها المقروءة قبل أن يحولها التطبيق إلى قيمة مشفرة باستخدام التجزئة.
وبمجرد الحصول على كلمة المرور، يمكن للشيفرة تنفيذ إجراءات خطيرة، تشمل إعادة ضبط الجلسات المسجلة الدخول إلى الحساب، وتغيير رقم الهاتف المرتبط به، أو حذف الحساب بالكامل.
كما تتضمن أجزاء أخرى من الشيفرة وظائف تستهدف منع صاحب الحساب من الوصول إليه، مع الإبقاء على جلسة المهاجم فعالة.
ولا يقتصر الأمر على ذلك، إذ تستطيع الأداة إخفاء جلسة المهاجم من قائمة الأجهزة والجلسات التي تعرضها نسخة تليغرام المعدلة للمستخدم.
وتتضمن التفاصيل التي نشرتها "Doctor Web" عنBaohuo آلية إخفاء الجلسات نفسها.
كما أشارت إلى أن البرمجية الخلفية ترسل رقم هاتف الحساب واسم المستخدم وكلمة المرور إلى خادمها كل ثلاث دقائق.
ولم يوضح Ovi أو Doctor Web ما إذا كانت الجلسة المخفية تظل ظاهرة في تطبيقات "تليغرام" الأخرى غير المعدلة والمستخدمة على أجهزة الضحية.
كذلك، لم يقدم أي منهما خطوات محددة لتأمين حساب تعرض لهذا النوع من الاستيلاء.
ويؤكد Ovi أن الشيفرة تكشف ما تستطيع الحزمة تنفيذه تقنيًا، وليس دليلًا على أن المهاجمين نفذوا جميع خطوات الهجوم من البداية إلى النهاية في كل حالة.
وليست هذه المرة الأولى التي تُستخدم فيها تطبيقات أصلية لتمرير شيفرات خبيثة داخلها على أندرويد.
فقد استخدمت برمجية FjordPhantom هذه الطريقة لاستهداف تطبيقات مصرفية عبر تقنيات المحاكاة الافتراضية عام 2023، كما اتبع حصان طروادة المصرفي GodFather أسلوبًا مشابهًا في عام 2025.
لكن Ovi يرى أن uCreator تختلف عن هذه الحالات لأنها تُباع بوصفها منتجًا تجاريًا. إذ يستطيع العملاء توجيه الأداة عن بُعد لاستهداف أي تطبيق يطور صانعو الحزمة وحدة خاصة به.
وحدة "وي تشات" وتسريب الشيفرات الخلفية للأداة
تستخدم uCreator أسلوبًا مختلفًا نسبيًا مع تطبيق "وي تشات"، إذ تستطيع تشغيل التطبيق الأصلي دون تعديل داخل بيئة افتراضية توفرها حاوية خاصة، بحسب تحليل Ovi.
ويمكن لأمر محدد نسخ بيانات هوية تسجيل الدخول إلى الحساب، ثم ضغط بيانات التطبيق في ملف واحد ورفعها إلى الخادم.
وبعد ذلك، يُستخدم برنامج نصي مدمج لتسجيل الدخول واستنساخ الحساب.
ويستهدف هذا الجزء من الأداة الحساب نفسه، وليس سجل المحادثات وحده.
كما عثر Ovi وباحث آخر يُدعى Jurre على الشيفرات الخلفية للنظام على خادم GitLab مستضاف ذاتيًا، وكان هذا الجزء الوحيد من البنية التحتية للأداة الذي لم يكن مقيدًا بعناوين IP مسموح بها.
وتكشف الشيفرات عن منصة سحابية مخصصة للتأجير، يمكن للتجار وموزعي الخدمة استخدامها.
ويحمل كل أمر رقم تعريف العميل الذي أصدره، ما يسمح لكل عميل بتوجيه حصته من الأجهزة نحو الضحايا الذين يختارهم.
وتُرسل الأوامر إلى هواتف ضمن ما يُعرف بمزرعة الهواتف، وهي مجموعة من الأجهزة التي تسيطر عليها الجهة المشغلة للعملية، وكذلك إلى هواتف الضحايا.
وتستطيع الأداة التقاط بيانات تفويض تسجيل الدخول، وإضافة الأصدقاء بأعداد كبيرة، وجمع معلومات جهات الاتصال والملفات الشخصية، وإنشاء نسخ احتياطية كاملة للحسابات.
وتتضمن المنظومة أداة جدولة تحدد الفترات الزمنية لتنفيذ الأنشطة، وتضع حدودًا يومية عشوائية، إلى جانب ميزانيات محددة لكل حساب.
وتهدف هذه الآليات إلى جعل السلوك يبدو أقرب إلى تصرفات المستخدمين الحقيقيين، بما يساعد على تجاوز أنظمة التحقق من المخاطر التي تعتمدها المنصات.
وتطلق الشيفرات على هذا النشاط اسم «تنمية الحسابات» (Account Cultivation)، وفقًا لترجمةOvi.
ويبدو من سجل الشيفرات أن نحو ثلاثة عشرات من المطورين شاركوا في العمل على المشروع وفق توقيت الصين، فيما ظل بعضهم يضيف تغييرات حتى أكتوبر/تشرين الأول 2026.
ويغطي الجزء الخلفي المسرب حسابات "وي تشات" الشخصية وحسابات WeCom. لكن Ovi يقول إنه لم يعثر على ما يشير إلى أن هذا الجزء يدعم "تيليغرام"، مؤكدًا أن ما كُشف لا يمثل سوى واحد من عدة خوادمGitLab مرتبطة بالمشروع.
من يقف وراء أداة التجسس؟
ربط Ovi أجزاءً من العملية بثلاث شركات في مقاطعة هونان الصينية.
وترتبط إحدى الشركات بالموقع الإلكتروني للعلامة التجارية الخاصة بالأداة وبشهادة أحد الخوادم، بينما ترتبط الثانية بإيداع رسمي لدى جهة حكومية بشأن خادم للتحكم بالأداة، في حين ترتبط الثالثة بالتوقيع المستخدم في برنامج التحكم الخاص بنظام ويندوز.
ويرى الباحث أن احتمال وجود مالك مشترك لهذه الشركات "أمر وارد، لكنه لم يُثبت بعد".
ويستخدم مطورو الأداة اسم YingGai للإشارة إلى المنتج، وتعود سجلات خط الإنتاج إلى سبتمبر/أيلول 2021. أما العينات التي درسها Ovi، فتعود إلى الفترة الممتدة من عام 2024 وحتى يوليو/تموز 2026.
ويرجح Ovi أن تُستخدم الحزمة في جرائم ذات دوافع مالية، نظرًا إلى تركيزها على المحافظ الرقمية ورموز المرور لمرة واحدة، وهي عناصر قد تتيح للمهاجمين الاستيلاء على الحسابات وتنفيذ عمليات احتيال.
في المقابل، وصفت Doctor Web برمجية Baohuo بأنها "أداة لزيادة عدد المشتركين في قنوات تيليغرام"، ما يشير إلى أن استخداماتها المعلنة أو المكتشفة قد تختلف بحسب الجهة التي تشغلها.
مؤشرات الاختراق التي تتركها الأداة
حدد Ovi أثرين وصفهما بأنهما موثوقان نسبيًا ويمكن البحث عنهما على الهاتف.
الأول هو ملف شيفرة باسم TgJarPine.dex، يظهر ضمن ملفات الأصول في بعض النسخ المعدلة من "تليغرام".
أما الأثر الثاني فهو نسخة من التطبيق الأصلي تتركها أداة تعديل التطبيقات المعروفة باسم LSPatch.
لكن وجود الأثر الثاني لا يثبت وحده الإصابة بـuCreator، لأن LSPatch قد يترك الملف نفسه عند تعديل تطبيقات لأسباب أخرى.
وعندما فحص موقع "The Hacker News" سجلات نظام أسماء النطاقات (DNS) في 23 أكتوبر/تشرين الأول 2026، وجد أن عددًا من النطاقات المستخدمة لخوادم الأداة وتنزيلاتها لم يعد يحل إلى عناوين IP.
