--- title: "uCreator Android casusu Telegram 2FA şifrelerini çalabiliyor, WeChat hesaplarını klonlayabiliyor" url: "https://teknotayf.com/haber/ucreator-android-casusu-telegram-2fa-sifrelerini-calabiliyor-wechat-hesaplarini-klonlayabiliyor" markdown_url: "https://teknotayf.com/haber/ucreator-android-casusu-telegram-2fa-sifrelerini-calabiliyor-wechat-hesaplarini-klonlayabiliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-26 12:54:02" updated: "2026-10-27 05:23:32" category: "Siber Güvenlik" tags: ["Mobil Casus Yazılım","Telegram Güvenlik","WeChat Klonlama","Android Tehdidi","uCreator"] source: "The Hacker News" --- # uCreator Android casusu Telegram 2FA şifrelerini çalabiliyor, WeChat hesaplarını klonlayabiliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/ucreator-android-casusu-telegram-2fa-sifrelerini-calabiliyor-wechat-hesaplarini-klonlayabiliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Araştırmacı Ovi’nin 21 Ekim 2026 tarihli analizine göre kiralanabilir Android kiti uCreator, oynanmış Telegram ve WeChat kopyaları üzerinden hesap ele geçirme imkanı sunuyor. Kitin Telegram bölümü, Ekim 2025’te Doctor Web’in raporladığı Baohuo arka kapısıyla aynı kod imzasını taşıyor. WeChat tarafında ise hesap klonlama ve arka uçta bulut konsoluyla yönetilen bir operasyon tespit edildi. - **Yayın tarihi:** 2026-10-26 12:54 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Mobil Casus Yazılım, Telegram Güvenlik, WeChat Klonlama, Android Tehdidi, uCreator - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/ucreator-android-spyware-can-steal.html) ![uCreator Android casusu Telegram 2FA şifrelerini çalabiliyor, WeChat hesaplarını klonlayabiliyor](https://teknotayf.com/assets/uploads/2026/10/51c40fd374db1d787e013c7b463fb0b9.jpg) Kiralanabilir bir Android casus yazılım kiti olan **uCreator**, araştırmacı Ovi’nin bulgusuna göre kodunu iki uygulamanın çalışan kopyaları içine gizleyerek Telegram ve WeChat hesaplarını ele geçiriyor. Bu kit, yalnızca resmi uygulama mağazalarının dışında dağıtılan bu oynanmış kopyalardan birini yükleyen kişilere ulaşıyor ya da WeChat’i kit üreticilerinin kendi konteyner uygulamasının içinde çalıştıranlara. Kitin Telegram bölümü, Doctor Web’in Ekim 2025’te raporladığı Baohuo arka kapısıyla eşleşiyor. Doctor Web, Baohuo’yu Telegram’ın Android uygulaması Telegram X’in oynanmış kopyalarında bulmuştu. O dönemde şirket, **58.000’den fazla cihazın** etkilendiğini tahmin etmişti. The Hacker News iki raporu karşılaştırdı. Doctor Web’in Baohuo’ya ilişkin teknik açıklamasında Ovi’nin analizindekilerle aynı kod alanı com.ucreator.tgjar, aynı komut ve kontrol sunucusu ve eşleşen komut adları listeleniyor. Ovi’nin 21 Ekim 2026’da yayımlanan analizi Doctor Web’in bulgularından söz etmiyor ve Doctor Web kiti adlandırmıyor. Kitin yapımcılarının ya da müşterilerinden birinin Doctor Web’in izlediği kampanyayı yürüttüğü net değil. ## Kimler risk altında Oynanmış uygulamalar, kişinin uygulama dosyasını mağaza dışından doğrudan yüklediği sideloading yoluyla ve sosyal mühendislikle yayılıyor, Ovi buldu. Her mağdurun nasıl etkilendiğini doğrulayamadı. İkinci bir yol, kit yapımcılarının kendi konteyner uygulaması 洋葱盒子 (“Onion Box”) üzerinden. Bu uygulama diğer uygulamaları kendi içinde çalıştırıyor. Doctor Web, Baohuo kopyalarının orta 2024’ten itibaren uygulama içi reklamlarla yayıldığını, reklamların sahte uygulama mağazası sitelerine yönlendirdiğini tespit etti. Bu siteler Telegram X’i tanışma ve görüntülü sohbet uygulaması olarak tanıtıyordu. Sitelerin banner’ları yalnızca Portekizce, Brezilya kullanıcıları için ve Endonezce olarak sunuluyordu. Buna rağmen Doctor Web’in 2025’teki enfekte cihazlar haritasında ilk sırada Hindistan yüzde 22,8 ile yer aldı, ardından Brezilya yüzde 20,5 ve Endonezya yüzde 9,6 geldi. Baohuo kopyaları üçüncü taraf mağazalar APKPure, ApkSum ve AndroidP’de de çıktı. APKPure’da biri resmi geliştirici adıyla listelenmişti, ancak dijital imzası farklıydı. Ovi, kitin bir komut sunucusuna erişim sağladı. Sunucuda Çin ve ABD’de bulunduğu anlaşılan mağdurlara ilişkin veriler vardı, ancak güvenilir bir sayı için yeterli değildi. Raporunu “teknik yeteneğin analizi, mağdur etkisinin ölçümü değil” olarak tanımlıyor. Henüz doğrulanmamış görünür hedefler, Çin ve Güneydoğu Asya’daki mobil cüzdan ve mesajlaşma uygulaması kullanıcıları; WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash ve MoMo dahil. Yaklaşık 20 uygulama için kod desteği bulduğunu söylüyor, ancak Telegram ve WeChat için kodu yayımladı. ![](https://teknotayf.com/assets/uploads/2026/10/5e9c80734816a3564c4fb67f76fe5ed2.webp) Kitin hooking motoru, kodun bir uygulamanın işlevlerini engellemesini sağlayan parça. Ovi, bunu Android 17 çalıştıran Pixel 10 Pro’da denedi. Motorun dayandığı dahili bir Android işlevini bulamadı, çünkü daha yeni Android sürümleri bu işlevi değiştirmiş. Başka bir araç olan Frida, aynı telefonda uygulamaları aynı şekilde engelleyebildi. Ovi bu durumu kit yapımcıları için ek iş olarak tanımlıyor, Android 17’nin saldırıyı engellediğinin kanıtı olarak görmüyor. En yeni örnek 29 Temmuz 2026 tarihli, hâlâ eski motoru taşıyor. Android 16 için derlenmiş örnekler kurtardı, ancak bu sürümü test ettiğini raporlamadı. Çin üreticilerinin telefonlarını test etmedi. ## Telegram hesabını nasıl ele geçiriyor Oynanmış bir Telegram uygulamasının içinde kitin kodu uygulama ile birlikte başlıyor ve uygulamanın kendi kimliği ve izinleriyle çalışıyor, Ovi buldu. Bu, oturum açmış uygulama ile aynı erişimi sağlıyor. Her oynanmış uygulama kendi içinde yerel bir komut sunucusu da çalıştırıyor. Her hedef uygulama için kod, kurulumdan sonra indiriliyor; bu da yükleyici dosyanın tek başına analizini zorlaştırıyor. Saldırganlar uygulamanın mesaj deposuna her türlü veritabanı sorgusunu gönderebiliyor ve sohbet geçmişini geri alabiliyor. Telegram’ın iki aşamalı doğrulama şifresi uygulama içinde giriliyor ve telefon üzerinde oturum açma kanıtı oluşturmak için kullanılıyor. Kit bu adımı engelliyor ve uygulama şifreyi hash’lemeden önce okunabilir biçimde kopyalıyor. Şifre ile kod, hesabın oturum açma oturumlarını sıfırlayabiliyor, bağlı telefon numarasını değiştirebiliyor ya da hesabı silebiliyor. Kodun diğer bölümleri, saldırganın oturumunu canlı tutarken hesabın sahibini dışarıda bırakmak için tasarlanmış. Kod ayrıca saldırganın oturumunu, oynanmış uygulamayı kullanan kullanıcıya gösterilen cihaz listesinde gizleyebiliyor. Doctor Web’in Baohuo açıklamasında aynı cihaz gizleme anlatılıyor. Arka kapı ayrıca hesabın telefon numarası, adı ve şifresini her üç dakikada bir sunucusuna gönderiyor. Ne Ovi ne de Doctor Web, gizli bir oturumun kullanıcının diğer, oynanmamış Telegram uygulamalarında hâlâ görünüp görünmediğini söylüyor. Bu şekilde ele geçirilen bir hesabı güvence altına alma adımları da vermiyorlar. Ovi, kodun kitin yapabildiklerini gösterdiğini, saldırganların her adımı baştan sona kullandığının kanıtı olmadığını söylüyor. Android’de daha önce de meşru uygulamaların saldırgan kodla birlikte çalıştırıldığı görüldü. FjordPhantom 2023’te sanal ortamla bankacılık uygulamalarına bunu yaptı, GodFather bankacılık truva atı da 2025’te yaptı. Ovi, kitin farklı olduğunu savunuyor, çünkü bir ürün olarak satılıyor. Müşteriler, yapımcılarının modül yazdığı her uygulama karşısında onu uzaktan yönlendirebiliyor. ## WeChat kısmı ve sızan arka uç WeChat için kit uygulama sanal ortamını da kullanabiliyor, değişmemiş uygulamayı kendi konteyneri içinde çalıştırıyor, Ovi buldu. Bir komut hesabın oturum açma kimliğini dışarı kopyalıyor. Uygulamanın verisi sıkıştırılıp yükleniyor ve paketlenmiş bir oturum açma betiğiyle hesap klonlanıyor. Bu kısım sohbet geçmişinden ziyade hesapların kendisine odaklanıyor. Ovi ve başka bir araştırmacı Jurre, kitin arka uç kodunu kendi barındırılan bir GitLab sunucusunda buldu. Bu, kurulumun onaylı IP adresleriyle sınırlı olmayan tek parçasıydı. Kod, tüccarların ve yeniden satıcıların kiraladığı bir bulut konsolunu gösteriyor. Her komut müşterinin kimliğini taşıyor, böylece her müşteri telefon filosunun kendi payını seçtiği mağdurlara yönlendiriyor. Komutlar kitin telefon çiftliğine ve mağdurların telefonlarına gidiyor. Orada kit, oturum açma izinlerini yakalıyor, toplu arkadaş ekliyor, iletişim ve profil verisi topluyor ve hesapların tamamını yedekliyor. Bir zamanlayıcı, platformların risk kontrollerini aşmak ve aktivitenin insan gibi görünmesini sağlamak için zaman pencereleri, rastgele günlük sınırlar ve hesap başına bütçeler belirliyor. Kod, Ovi’nin çevirisine göre bunu “hesap yetiştirme” olarak adlandırıyor. Kodun geçmişinde Çin saatiyle çalışan yaklaşık üç düzine geliştirici görünüyor ve bazıları Ekim 2026’da hâlâ değişiklik ekliyordu. Sızan arka uç kişisel WeChat ve WeCom hesaplarını kapsıyor. Ovi, Telegram’ı kapsamadığını söyledi ve birkaç GitLab sunucusundan yalnızca biri açığa çıkmıştı. ## Kimlerin arkasında olduğu Ovi, operasyonun bazı bölümlerini Çin’in Hunan eyaletindeki üç şirkete bağlıyor. Biri kitin marka sitesi ve bir sunucu sertifikasıyla, diğeri bir komut sunucusu için devlet sitesi başvurusuyla, üçüncüsü ise kitin Windows kontrol programındaki imza ile bağlantılı. Ortak bir malikin “olası, ancak kanıtlanmamış” olduğunu söylüyor. Yapımcıların ürün için kendi adı YingGai ve ürün hattı Eylül 2021’e dayanan kayıtlarda görünüyor. Ovi’nin incelediği örnekler 2024’ten Temmuz 2026’ya kadar. Ovi, kitin cüzdanlara ve tek kullanımlık şifrelere odaklanması nedeniyle finansal amaçlı suç için kullanıldığını varsayıyor. Doctor Web, Baohuo’yu “Telegram kanallarında abone sayısını artırmak için bir araç” olarak tanımlamıştı. ## Tehdit göstergeleri Kit, Ovi’nin güvenilir olarak adlandırdığı iki iz bırakıyor telefonda. Biri bazı oynanmış Telegram kopyalarının varlıklarında bulunan TgJarPine.dex kod dosyası. Diğeri, raflardan alınmış bir yamalama aracı olan LSPatch’in cache/lspatch/origin/*.apk konumunda bıraktığı orijinal uygulama kopyası. Bu ikinci iz LSPatch’in kendisinden geldiği için, araç başka nedenlerle yamalanmış uygulamalarda da görülebiliyor. The Hacker News, 23 Ekim 2026’da DNS kayıtlarını kontrol ettiğinde kitin sunucu ve indirme alan adlarının çoğunun artık çözülmediğini gördü. Sürüm yükleme sunucusu için alan adı hâlâ 121.37.194.194 adresini gösteriyordu. Kitin göstergeleri şunlar: SHA-256 : 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, framework ve komut işleyicileri) SHA-256 : 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, yükleyici) SHA-256 : dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (org.thunderdog.challegram, oynanmış Telegram X, Kasım 2024) SHA-256 : 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (org.telegram.messenger.web, oynanmış Telegram, Temmuz 2024) SHA-256 : a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 (org.thunderdog.challegram, oynanmış Telegram X) SHA-256 : f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx, WeChat ana bilgisayarı) SHA-256 : 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (com.ucreator.va_yjb_client, Onion Box) SHA-256 : 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe, Windows kontrol programı) Alan adı : hpncallback.gold5play.com (komut sunucusu, 23 Ekim’de çözülmüyor) Alan adı : hpncallback.qianxunlbs.com (komut sunucusu, 23 Ekim’de çözülmüyor) Alan adı : telegram-apk.uzyzx.com (indirme ana bilgisayarı, 23 Ekim’de çözülmüyor) Alan adı : hw.android.videoflow.cn (sürüm yüklemeleri, 23 Ekim’de 121.37.194.194 adresini gösteriyor) IP : 159.138.237.10:32115 (Redis sunucusu) IP : 159.138.229.12:26379 (Redis sunucusu) Alan adı : r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs.com:65531 (Redis sunucusu, WeChat bölümü) IP : 43.225.141.209 (Telegram bölümü tarafından kullanılan röle) URL : kfpt.oss-cn-hangzhou.aliyuncs.com/android/app/YingGai/ (hook indirmeleri) Doctor Web, Baohuo için kendi göstergelerini yayımladı. ![](https://teknotayf.com/assets/uploads/2026/10/89aec2b2f57fc279a69798dcad1d7468.webp) ![](https://teknotayf.com/assets/uploads/2026/10/6951f013dd40a07b0ac9051f7da49ad6.webp) --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/ucreator-android-casusu-telegram-2fa-sifrelerini-calabiliyor-wechat-hesaplarini-klonlayabiliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.