كشف باحث أمني عن أداة تجسس تجارية تُعرف باسم uCreator، قادرة على الاستيلاء على حسابات «تيليغرام» و«وي تشات» عبر إخفاء شيفرتها داخل نسخ معدلة من التطبيقين، وسرقة كلمات مرور التحقق بخطوتين وبيانات تسجيل الدخول، مع إمكانات للتحكم في الحسابات عن بُعد.
وتستهدف الأداة، المصممة لنظام أندرويد، المستخدمين الذين يثبتون نسخًا معدلة من تطبيقي «تيليغرام» و«وي تشات» يجري توزيعها خارج متاجر التطبيقات الرسمية، كما يمكنها تشغيل «وي تشات» داخل تطبيق حاوية خاص بمطوريها.
ووفقًا لتحليل نشره الباحث الأمني Ovi في 21 أكتوبر 2026، فإن uCreator ليست مجرد برمجية خبيثة تقليدية، بل حزمة تجارية قابلة للتأجير، تتيح للعملاء تنفيذ عمليات استهداف عن بُعد ضد التطبيقات التي يطور صانعو الأداة وحدات مخصصة لها.
ارتباط محتمل ببرمجية تجسس سابقة
تتشابه الوحدة الخاصة بتطبيق «تيليغرام» مع برمجية خلفية تُعرف باسم Baohuo، كشف عنها فريق Doctor Web في أكتوبر 2025، بعد العثور عليها داخل نسخ معدلة من تطبيق Telegram X المخصص لنظام أندرويد. وقدّر الفريق آنذاك أن أكثر من 58 ألف جهاز تعرض للإصابة.
وأظهرت مقارنة التحليلات التقنية أن تقرير Doctor Web عن Baohuo يتضمن مساحة الأسماء البرمجية نفسها، وهي com.ucreator.tgjar، وخادم التحكم والسيطرة نفسه، إلى جانب تطابق أسماء الأوامر مع ما ورد في تحليل Ovi.
ولم يشر تحليل Ovi إلى نتائج Doctor Web السابقة، كما لم تكشف الشركة الأمنية عن اسم الحزمة التي اكتشفتها. ولا يزال من غير الواضح ما إذا كان مطورو الأداتين أنفسهم، أو أحد عملائهم، وراء الحملات التي رُصدت.
من المستخدمون المعرضون للخطر؟
وجد Ovi أن النسخ المعدلة تنتشر عبر التثبيت الجانبي للتطبيقات، أي تثبيت ملفات التطبيقات مباشرة بدلًا من تنزيلها من متجر رسمي، إلى جانب أساليب الهندسة الاجتماعية التي تهدف إلى خداع المستخدمين ودفعهم إلى تثبيت البرمجيات. لكنه لم يتمكن من تحديد طريقة إصابة كل ضحية على حدة.
وتوجد وسيلة أخرى لنشر الأداة عبر تطبيق حاوية خاص بمطوريها يحمل اسم «Onion Box»، ويتيح تشغيل تطبيقات أخرى داخله.
وتستخدم بعض النسخ المعدلة من Telegram X اسم الحزمة نفسه المستخدم في التطبيق الأصلي المتاح على متجر «جوجل بلاي»، ما يعني أن اسم التطبيق وحده لا يكفي لاكتشاف النسخة المزيفة.
وكانت Doctor Web قد رصدت انتشار نسخ Baohuo منذ منتصف عام 2024، عبر إعلانات داخل التطبيقات تقود المستخدمين إلى مواقع مزيفة تشبه متاجر التطبيقات، وتروج لتطبيق Telegram X باعتباره تطبيقًا للتعارف وإجراء محادثات الفيديو.
واقتصرت اللافتات الإعلانية التي رصدتها الشركة على اللغة البرتغالية لاستهداف المستخدمين في البرازيل، واللغة الإندونيسية.
وأظهرت بيانات توزيع الأجهزة المصابة التي نشرتها Doctor Web عام 2025 تصدر الهند بنسبة 22.8%، تلتها البرازيل بنسبة 20.5%، ثم إندونيسيا بنسبة 9.6%.
وعُثر أيضًا على نسخ من Baohuo في متاجر تطبيقات خارجية، من بينها APKPure وApkSum وAndroidP. وفي متجر APKPure، ظهرت إحدى النسخ باسم المطور الرسمي للتطبيق، رغم اختلاف توقيعها الرقمي عن توقيع النسخة الأصلية.
وتمكن Ovi من الوصول إلى أحد خوادم التحكم التابعة للأداة، حيث وجد بيانات تخص ضحايا يُعتقد أنهم موجودون في الصين والولايات المتحدة، لكنها لم تكن كافية لتحديد العدد الفعلي للمصابين بصورة موثوقة.
ووصف الباحث تقريره بأنه «تحليل للإمكانات التقنية، وليس قياسًا لتأثير الهجمات في الضحايا».
وتشير الشيفرات التي عثر عليها إلى استهداف محتمل لمستخدمي المحافظ الرقمية وتطبيقات المراسلة في الصين وجنوب شرق آسيا، لكن ذلك لم يتأكد بصورة نهائية.
وتشمل التطبيقات التي ظهرت مؤشرات على دعمها WeCom وQQ و«واتساب» وLINE وZalo وKakaoTalk وViber وGCash وMoMo.
وعثر الباحث على شيفرات تدعم نحو 20 تطبيقًا، لكنه نشر تفاصيل تقنية تخص «تيليغرام» و«وي تشات» فقط.
كيف تؤثر الأداة في إصدارات أندرويد الحديثة؟
تعتمد الحزمة على محرك لربط الشيفرات بوظائف التطبيقات واعتراضها، وهي آلية تُعرف باسم «الربط البرمجي» أو Hooking، وتسمح للشيفرة الخبيثة بالتدخل في عمل التطبيق المستهدف.
واختبر Ovi هذا المحرك على هاتف Pixel 10 Pro يعمل بنظام أندرويد 17، لكنه لم يتمكن من العثور على إحدى الوظائف الداخلية التي يعتمد عليها المحرك، بسبب تغييرات طرأت على تلك الوظيفة في الإصدارات الحديثة من النظام.
ومع ذلك، استطاعت أداة أخرى تُعرف باسم Frida تنفيذ عمليات الربط البرمجي نفسها على الهاتف ذاته.
ويرى Ovi أن هذه النتيجة تعني أن مطوري الحزمة قد يحتاجون إلى بذل جهد إضافي لتكييف أداتهم مع الإصدارات الحديثة، لكنها لا تثبت أن أندرويد 17 يمنع الهجوم.
ولا تزال أحدث عينة من الأداة، المؤرخة في 29 يوليو 2026، تستخدم المحرك القديم. كما عثر الباحث على عينات جرى إعدادها للعمل مع أندرويد 16، لكنه لم يذكر أنه اختبرها على هذا الإصدار، ولم يختبر هواتف الشركات الصينية المصنعة للأجهزة.
كيف تستولي uCreator على حسابات تيليغرام؟
وجد Ovi أن الشيفرة الخاصة بالأداة تبدأ العمل عند تشغيل نسخة «تيليغرام» المعدلة، وتعمل باستخدام هوية التطبيق نفسه وصلاحياته، ما يمنحها إمكانية الوصول إلى البيانات التي يستطيع التطبيق المسجل دخوله الوصول إليها.
كما تحتوي كل نسخة معدلة على خادم أوامر محلي يعمل داخلها، بينما تُنزّل الشيفرات الخاصة بالتطبيق المستهدف بعد تثبيت النسخة على الجهاز. ويجعل ذلك تحليل ملف التثبيت وحده أكثر صعوبة، لأن بعض المكونات الأساسية لا تكون موجودة فيه منذ البداية.
ويمكن للمهاجمين إرسال استعلامات إلى قاعدة بيانات الرسائل داخل التطبيق واسترجاع سجل المحادثات.
وتكمن إحدى أخطر قدرات الأداة في استهداف كلمة مرور التحقق بخطوتين (2FA) الخاصة بتطبيق «تيليغرام». فعندما يدخل المستخدم كلمة المرور داخل التطبيق، تُستخدم لإنشاء إثبات تسجيل دخول على الهاتف.
وتعترض الأداة هذه العملية وتنسخ كلمة المرور بصيغتها المقروءة قبل أن يحولها التطبيق إلى قيمة مشفرة باستخدام التجزئة.
وبمجرد الحصول على كلمة المرور، يمكن للشيفرة تنفيذ إجراءات خطيرة، تشمل إعادة ضبط الجلسات المسجلة الدخول إلى الحساب، وتغيير رقم الهاتف المرتبط به، أو حذف الحساب بالكامل.
كما تتضمن أجزاء أخرى من الشيفرة وظائف تهدف إلى منع صاحب الحساب من الوصول إليه، مع الإبقاء على جلسة المهاجم فعالة.
ولا يقتصر الأمر على ذلك، إذ تستطيع الأداة إخفاء جلسة المهاجم من قائمة الأجهزة والجلسات التي تعرضها نسخة «تيليغرام» المعدلة للمستخدم.
وتتضمن التفاصيل التي نشرتها Doctor Web عن Baohuo آلية إخفاء الجلسات نفسها، كما أشارت إلى أن البرمجية الخلفية ترسل رقم هاتف الحساب واسم المستخدم وكلمة المرور إلى خادمها كل ثلاث دقائق.
ولم يوضح Ovi أو Doctor Web ما إذا كانت الجلسة المخفية تظل ظاهرة في تطبيقات «تيليغرام» الأخرى غير المعدلة والمستخدمة على أجهزة الضحية، كما لم يقدم أي منهما خطوات محددة لتأمين حساب تعرض لهذا النوع من الاستيلاء.
ويؤكد Ovi أن الشيفرة تكشف ما تستطيع الحزمة تنفيذه تقنيًا، لكنها لا تثبت أن المهاجمين نفذوا جميع مراحل الهجوم من البداية إلى النهاية في كل حالة.
وليست هذه المرة الأولى التي تُستخدم فيها تطبيقات أصلية لتمرير شيفرات خبيثة داخلها على أندرويد؛ فقد استخدمت برمجية FjordPhantom هذه الطريقة لاستهداف تطبيقات مصرفية عبر تقنيات المحاكاة الافتراضية عام 2023، كما اتبع حصان طروادة المصرفي GodFather أسلوبًا مشابهًا عام 2025.
لكن Ovi يرى أن uCreator تختلف عن هذه الحالات لأنها تُباع بوصفها منتجًا تجاريًا، إذ يستطيع العملاء توجيه الأداة عن بُعد لاستهداف أي تطبيق يطور صانعو الحزمة وحدة خاصة به.
وحدة وي تشات وتسريب الشيفرات الخلفية
تستخدم uCreator أسلوبًا مختلفًا نسبيًا مع تطبيق «وي تشات»، إذ تستطيع تشغيل التطبيق الأصلي دون تعديل داخل بيئة افتراضية توفرها حاوية خاصة، بحسب تحليل Ovi.
ويمكن لأمر محدد نسخ بيانات هوية تسجيل الدخول إلى الحساب، ثم ضغط بيانات التطبيق في ملف واحد ورفعها إلى الخادم، وبعد ذلك يُستخدم برنامج نصي مدمج لتسجيل الدخول واستنساخ الحساب.
ويستهدف هذا الجزء من الأداة الحساب نفسه، وليس سجل المحادثات وحده.
كما عثر Ovi وباحث آخر يُدعى Jurre على الشيفرات الخلفية للنظام على خادم GitLab مستضاف ذاتيًا، وكان هذا الجزء الوحيد من البنية التحتية للأداة الذي لم يكن مقيدًا بعناوين IP مسموح بها.
وتكشف الشيفرات عن منصة سحابية مخصصة للتأجير، يمكن للتجار وموزعي الخدمة استخدامها. ويحمل كل أمر رقم تعريف العميل الذي أصدره، ما يسمح لكل عميل بتوجيه حصته من الأجهزة نحو الضحايا الذين يختارهم.
وتُرسل الأوامر إلى هواتف ضمن ما يُعرف بمزرعة الهواتف، وهي مجموعة من الأجهزة التي تسيطر عليها الجهة المشغلة للعملية، وكذلك إلى هواتف الضحايا.
وتستطيع الأداة التقاط بيانات تفويض تسجيل الدخول، وإضافة الأصدقاء بأعداد كبيرة، وجمع معلومات جهات الاتصال والملفات الشخصية، وإنشاء نسخ احتياطية كاملة للحسابات.
وتتضمن المنظومة أداة جدولة تحدد الفترات الزمنية لتنفيذ الأنشطة، وتضع حدودًا يومية عشوائية، إلى جانب ميزانيات محددة لكل حساب. وتهدف هذه الآليات إلى جعل السلوك يبدو أقرب إلى تصرفات المستخدمين الحقيقيين، بما يساعد على تجاوز أنظمة التحقق من المخاطر التي تعتمدها المنصات.
وتطلق الشيفرات على هذا النشاط اسم «تنمية الحسابات» (Account Cultivation)، وفقًا لترجمة Ovi.
ويبدو من سجل الشيفرات أن نحو ثلاثة عشرات من المطورين شاركوا في العمل على المشروع وفق توقيت الصين، فيما ظل بعضهم يضيف تغييرات حتى أكتوبر 2026.
ويغطي الجزء الخلفي المسرب حسابات «وي تشات» الشخصية وحسابات WeCom. لكن Ovi يقول إنه لم يعثر على ما يشير إلى أن هذا الجزء يدعم «تيليغرام»، مؤكدًا أن ما كُشف لا يمثل سوى واحد من عدة خوادم GitLab مرتبطة بالمشروع.
من يقف وراء أداة التجسس؟
ربط Ovi أجزاءً من العملية بثلاث شركات في مقاطعة هونان الصينية.
وترتبط إحدى الشركات بالموقع الإلكتروني للعلامة التجارية الخاصة بالأداة وبشهادة أحد الخوادم، بينما ترتبط الثانية بإيداع رسمي لدى جهة حكومية بشأن خادم للتحكم بالأداة، في حين ترتبط الثالثة بالتوقيع المستخدم في برنامج التحكم الخاص بنظام ويندوز.
ويرى الباحث أن احتمال وجود مالك مشترك لهذه الشركات «أمر وارد، لكنه لم يُثبت بعد».
ويستخدم مطورو الأداة اسم YingGai للإشارة إلى المنتج، وتعود سجلات خط الإنتاج إلى سبتمبر 2021. أما العينات التي درسها Ovi، فتعود إلى الفترة الممتدة من عام 2024 وحتى يوليو 2026.
ويرجح Ovi أن تُستخدم الحزمة في جرائم ذات دوافع مالية، نظرًا إلى تركيزها على المحافظ الرقمية ورموز المرور لمرة واحدة، وهي عناصر قد تتيح للمهاجمين الاستيلاء على الحسابات وتنفيذ عمليات احتيال.
في المقابل، وصفت Doctor Web برمجية Baohuo بأنها «أداة لزيادة عدد المشتركين في قنوات تيليغرام»، ما يشير إلى أن استخداماتها المعلنة أو المكتشفة قد تختلف بحسب الجهة التي تشغلها.
مؤشرات قد تكشف الإصابة بالأداة
حدد Ovi أثرين وصفهما بأنهما موثوقان نسبيًا ويمكن البحث عنهما على الهاتف.
الأول هو ملف شيفرة باسم TgJarPine.dex، يظهر ضمن ملفات الأصول في بعض النسخ المعدلة من «تيليغرام».
أما الأثر الثاني فهو نسخة من التطبيق الأصلي تتركها أداة تعديل التطبيقات المعروفة باسم LSPatch.
لكن وجود الأثر الثاني لا يثبت وحده الإصابة بـuCreator، لأن LSPatch قد يترك الملف نفسه عند تعديل تطبيقات لأسباب أخرى.
وعندما فحص موقع The Hacker News سجلات نظام أسماء النطاقات (DNS) في 23 أكتوبر 2026، وجد أن عددًا من النطاقات المستخدمة لخوادم الأداة وتنزيلاتها لم يعد يحل إلى عناوين IP.
