Spyware Android Incar Telegram –

Spyware Android Incar Telegram – Pengguna Android perlu mewaspadai uCreator, sebuah perangkat spyware komersial yang dirancang untuk menyusup ke aplikasi pesan dan layanan keuangan.

Dengan menyisipkan kode berbahaya ke dalam aplikasi yang tampak berfungsi normal, perangkat ini dapat mengakses data akun, mencuri kredensial, hingga menjalankan tindakan atas nama pemilik akun.

Temuan peneliti keamanan siber yang dipublikasikan pada 21 Oktober 2026, mengungkap bahwa uCreator bukan sekadar satu keluarga malware, melainkan platform pengawasan Android yang dapat disewakan kepada operator.

Analisisnya menemukan kemampuan untuk menargetkan Telegram dan WeChat, serta kode yang mendukung sejumlah aplikasi lain. Namun, kemampuan teknis tersebut tidak berarti seluruh fungsi telah digunakan terhadap setiap korban. Sumber: analisis Ovi.

Menyusup ke Aplikasi yang Terlihat Normal

Berbeda dari spyware yang menyamar sebagai aplikasi asing, uCreator dapat disisipkan ke dalam salinan aplikasi yang sudah dikenal pengguna.

Penyerang mendistribusikan versi modifikasi tersebut melalui situs tidak resmi, katalog aplikasi pihak ketiga, atau rekayasa sosial yang membujuk korban memasang berkas APK di luar toko aplikasi resmi.

Sebagian sampel yang ditemukan menggunakan nama paket yang menyerupai aplikasi asli. Karena itu, nama dan tampilan aplikasi saja tidak cukup untuk memastikan keasliannya.

uCreator juga memiliki aplikasi kontainer bernama 洋葱盒子, yang dapat menjalankan aplikasi lain di dalam lingkungan virtual. Dalam skenario ini, pengguna menjalankan aplikasi melalui kontainer yang dikendalikan pembuat platform tersebut. Cara ini memungkinkan kode berbahaya berinteraksi dengan aplikasi sasaran tanpa selalu mengubah berkas asli aplikasi tersebut.

Setelah aplikasi dipasang, sebagian kode khusus untuk aplikasi sasaran dapat diunduh dari server operator. Mekanisme ini membuat berkas instalasi awal tidak selalu memperlihatkan seluruh kemampuan berbahaya yang nantinya dijalankan.

Bagaimana Akun Telegram Dapat Diambil Alih?

Menurut analisis, komponen uCreator untuk Telegram dapat berjalan di dalam proses aplikasi yang telah dimodifikasi. Dengan demikian, kode berbahaya berpotensi mengakses data dan fungsi yang tersedia bagi aplikasi ketika pengguna sudah masuk ke akunnya.

Kemampuan yang ditemukan meliputi:

Mengakses riwayat percakapan. Kode dapat menjalankan kueri terhadap penyimpanan pesan melalui antarmuka internal aplikasi.
Mencuri kata sandi verifikasi dua langkah. Ketika pengguna memasukkan kata sandi verifikasi dua langkah (two-step verification), kode berbahaya dapat mencegatnya sebelum diproses menjadi bukti autentikasi.
Memanipulasi sesi akun. Fungsi yang ditemukan memungkinkan pengelolaan sesi masuk, termasuk upaya menyembunyikan sesi penyerang dari daftar perangkat yang ditampilkan aplikasi modifikasi.
Mengganggu kendali pemilik akun. Kode menyediakan kemampuan untuk mengubah informasi akun dan melakukan tindakan yang dapat menyulitkan pemilik memperoleh kembali kendali.
Jika disalahgunakan, kemampuan tersebut dapat membuka jalan bagi pengambilalihan akun dan penyalahgunaan percakapan. Meski demikian, analisis kode tidak dengan sendirinya membuktikan bahwa setiap tindakan tersebut telah berhasil dilakukan dalam suatu serangan nyata.
Temuan ini juga memiliki kaitan dengan Baohuo, backdoor Android yang dilaporkan Doctor Web pada Oktober 2025. Saat itu, Doctor Web memperkirakan lebih dari 58.000 perangkat telah terinfeksi melalui versi Telegram X yang dimodifikasi.

Analisis teknis kedua pihak menunjukkan kesamaan tertentu, termasuk nama ruang kode dan infrastruktur kendali. Namun, hubungan langsung antara operator kampanye Baohuo dan pembuat atau pelanggan uCreator belum dapat dipastikan.

WeChat dan Aplikasi Lain Juga Berpotensi Terdampak

Pada WeChat, uCreator dapat menjalankan aplikasi di dalam kontainer virtual, kemudian mengambil informasi identitas login dan mengumpulkan data aplikasi untuk dikirim ke infrastruktur operator.

Mekanisme yang dianalisis berfokus pada pengambilan identitas akun dan data aplikasi, bukan pada pencurian riwayat percakapan melalui metode yang sama dengan komponen Telegram.

Peneliti juga menemukan kode yang mendukung berbagai aplikasi komunikasi dan layanan keuangan, termasuk:

WeCom.
QQ.
WhatsApp.
LINE.
Zalo.
KakaoTalk.
Viber.
Gcash.
MoMo.

Daftar tersebut menunjukkan cakupan teknis platform, bukan bukti bahwa seluruh aplikasi atau penggunanya telah menjadi korban.

Arsitektur uCreator memungkinkan operator mengendalikan perangkat dan menjalankan perintah dari jarak jauh. Kode backend yang ditemukan peneliti juga memperlihatkan mekanisme untuk:

Mengelola data kontak.
Informasi profil.
Otorisasi login.
Serta aktivitas akun.

Kemampuan ini dapat dimanfaatkan untuk penipuan, penyalahgunaan identitas, atau akses tidak sah ke akun.

Ovi mengaitkan sebagian infrastruktur dengan sejumlah perusahaan di Provinsi Hunan, Tiongkok. Namun, hubungan kepemilikan dan tanggung jawab operasional yang lebih luas masih belum terbukti secara pasti.

Temuan tersebut tidak cukup untuk menyimpulkan bahwa aktivitas ini dilakukan atas perintah pemerintah atau aktor negara.

Langkah Perlindungan bagi Pengguna Android

Ancaman seperti uCreator menegaskan pentingnya memastikan aplikasi berasal dari sumber tepercaya. Pengguna dapat menerapkan langkah-langkah berikut untuk mengurangi risiko:

Gunakan Google Play atau kanal distribusi resmi pengembang. Hindari APK dari situs, iklan, pesan, atau tautan yang tidak dapat diverifikasi.
Waspadai aplikasi yang meminta pemasangan di luar toko resmi atau mengarahkan pengguna menjalankan layanan pesan melalui kontainer yang tidak dikenal. Nama aplikasi yang tampak benar bukan jaminan keaslian.
Pasang pembaruan sistem operasi serta aplikasi untuk memperoleh perbaikan keamanan terbaru. Pembaruan tidak menjamin semua teknik spyware terblokir, tetapi membantu mengurangi risiko dari kerentanan yang telah diperbaiki.
Solusi keamanan yang tepercaya dapat membantu mendeteksi aplikasi berbahaya. Namun, hasil pemindaian bukan jaminan bahwa perangkat bebas dari seluruh ancaman.
Pada Telegram, tinjau perangkat atau sesi aktif dari aplikasi resmi di perangkat yang diyakini bersih. Keluar dari sesi yang tidak dikenal. Pada WeChat, periksa pengaturan keamanan akun dan perangkat yang terhubung.
Gunakan perangkat tepercaya untuk mengganti kredensial, mengakhiri sesi yang tidak dikenal, dan meninjau metode pemulihan akun. Jika aplikasi modifikasi mungkin telah mencuri kredensial, jangan mengandalkan aplikasi tersebut untuk membersihkan atau mengamankan akun.
Aktivitas pesan yang tidak dilakukan sendiri, perubahan informasi akun, atau sesi asing perlu ditindaklanjuti. Beri tahu kontak jika akun mungkin digunakan untuk mengirim tautan atau permintaan uang palsu.
Hentikan penggunaan aplikasi mencurigakan dan lakukan pemeriksaan dari perangkat lain yang tepercaya. Menghapus aplikasi berbahaya saja belum tentu memulihkan akun yang sudah diambil alih; keamanan sesi dan kredensial harus diperiksa secara terpisah.

uCreator menunjukkan bagaimana aplikasi yang terlihat sah dapat dijadikan sarana pengawasan dan pencurian akun. Karena kode berbahaya dapat bekerja di dalam aplikasi yang telah dimodifikasi, kewaspadaan tidak cukup hanya dengan mengenali ikon atau nama aplikasi.

Sumber instalasi, keaslian aplikasi, keamanan perangkat, dan pemeriksaan sesi akun merupakan bagian penting untuk menjaga data pribadi tetap terlindungi.