Jak usunąć trojana zdalnego dostępu uCreator z Androida

Jakim rodzajem malware jest uCreator RAT?

uCreator RAT (sprzedawany przez swojego twórcę pod nazwą YingGai) to zaawansowana platforma spyware na Androida oraz trojan zdalnego dostępu. Wykorzystuje wirtualizację aplikacji do potajemnego instrumentowania legalnych aplikacji do przesyłania wiadomości i płatności na zainfekowanych urządzeniach. Według badań opublikowanych przez 0x0v1, jego celem są użytkownicy aplikacji WeChat, Telegram, GCash oraz kilkunastu innych aplikacji komunikacyjnych i finansowych.

Przegląd złośliwego oprogramowania uCreator RAT

uCreator RAT nie jest typową, samodzielną złośliwą aplikacją. Jest to komercyjna platforma inwigilacyjna sprzedawana pod nazwą YingGai i zbudowana wokół koncepcji „masowej kontroli". Platforma łączy silnik wirtualizacji aplikacji, moduły przechwytujące dostosowane do poszczególnych celów, chmurową infrastrukturę sterowania oraz konsolę operatora dla systemu Windows, służącą do zarządzania zainfekowanymi urządzeniami.

Platforma uzyskuje dostęp do legalnych aplikacji za pomocą narzędzi takich jak LSPatch i Pine, opartych na frameworku przechwytującym Xposed. Narzędzia te ładują kod docelowej aplikacji w kontrolowanym procesie bez konieczności uzyskiwania uprawnień roota na urządzeniu. Docelowa aplikacja wydaje się działać normalnie, podczas gdy złośliwe oprogramowanie niepostrzeżenie działa w jej przestrzeni procesu.

uCreator RAT został stworzony do atakowania aplikacji komunikacyjnych i finansowych popularnych w Chinach i Azji Południowo-Wschodniej. Potwierdzone cele obejmują WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo i GCash. Dowody odzyskane z serwera C2 wskazują, że ofiary znajdowały się w Chinach i Stanach Zjednoczonych.

Moduł Telegram to najbardziej inwazyjny z wykrytych komponentów. Zamiast kopiować pliki bazy danych z urządzenia, wysyła on bieżące zapytania SQL do aktywnej wewnętrznej bazy danych SQLite aplikacji Telegram, odczytując historię wiadomości przy użyciu uprawnień i uchwytów samej aplikacji.

Ten sam moduł przechwytuje również procedurę uwierzytelniania dwuskładnikowego Telegrama, aby przechwycić hasło do konta w postaci jawnego tekstu, zanim zostanie ono zahaszowane lub przesłane. Mając to hasło, operator może wyświetlić aktywne sesje i usunąć zaufane urządzenia z listy autoryzowanych.

Platforma zawiera także dedykowany kod służący do całkowitego zablokowania prawowitemu właścicielowi dostępu do jego własnego konta. Ta funkcja blokady konta jest celową, nazwaną funkcjonalnością, a nie przypadkowym efektem ubocznym. W najgorszym przypadku atakujący może przejąć pełną kontrolę nad kontem Telegram i uniemożliwić ofierze jego odzyskanie.

Każda przechwycona aplikacja udostępnia lokalny serwer poleceń HTTP z około 40 ponumerowanymi procedurami obsługi. Obejmują one pobieranie kontaktów, zbieranie wiadomości SMS, zapytania do baz danych, wysyłanie wiadomości oraz manipulowanie sesjami. Polecenia docierają przez magistralę komunikatów Redis i są wykonywane w procesie docelowej aplikacji z jej tożsamością i uprawnieniami.

Poza aplikacjami komunikacyjnymi platforma obejmuje funkcję fałszowania obrazu z kamery, mającą na celu obejście kontroli żywotności „poznaj swojego klienta" (KYC) stosowanych przez usługi finansowe. Moduł WeChat koncentruje się na klonowaniu kont: zbiera dane logowania i listy kontaktów, a następnie tworzy pełną kopię zapasową danych konta w chmurze operatora.

Wyciek z instancji GitLab ujawnił pełny kod źródłowy zaplecza platformy, w tym wielodostępną konsolę operatora wynajmowaną klientom końcowym. Historia commitów pozwoliła zidentyfikować około trzech tuzinów programistów z Changsha w Chinach, a najnowsze commity pochodzą z jesieni 2026 roku. Infrastruktura obsługuje jednocześnie wielu operatorów, z których każdy atakuje własną flotę urządzeń ofiar.

Należy wspomnieć, że twórcy złośliwego oprogramowania często udoskonalają swoje oprogramowanie i metody. Przyszłe wersje uCreator RAT mogą rozszerzyć listę atakowanych aplikacji lub wprowadzić dodatkowe funkcje. Podsumowując, obecność oprogramowania takiego jak uCreator RAT na urządzeniu może prowadzić do przejęcia kont, poważnych naruszeń prywatności, strat finansowych i kradzieży tożsamości.

Przykłady trojanów zdalnego dostępu

uCreator RAT wyróżnia się na tle innych zagrożeń dla systemu Android wykorzystaniem wirtualizacji aplikacji na urządzeniu. Takie podejście sprawia, że jest on szczególnie trudny do wykrycia przez narzędzia bezpieczeństwa, ponieważ złośliwe oprogramowanie działa w procesie legalnej aplikacji, a nie jako samodzielna podejrzana aplikacja.

Inne przykłady trojanów zdalnego dostępu atakujących system Android to RatHat, Night Dragon i Flying Eagle. Złośliwe oprogramowanie tego typu jest powszechnie wykorzystywane do kradzieży danych osobowych, oszustw finansowych i szpiegowania ofiar bez ich wiedzy.

Niezależnie od konkretnego zagrożenia cyberprzestępcy nieustannie opracowują nowe narzędzia do atakowania użytkowników urządzeń mobilnych. Ostrożność w kwestii źródeł instalacji aplikacji oraz aktywne oprogramowanie zabezpieczające to najskuteczniejsze środki obrony dostępne dla przeciętnych użytkowników.

Jak uCreator RAT przeniknął do mojego urządzenia?

uCreator RAT trafia na urządzenia za pośrednictwem przepakowanych kopii legalnych aplikacji. Badacze wykryli zmodyfikowane wersje aplikacji Telegram rozpowszechniane poprzez sideloading, w ramach którego użytkownicy są nakłaniani do ręcznej instalacji plików APK spoza oficjalnego sklepu Google Play Store. Zmodyfikowane pliki APK udostępniała dedykowana domena dystrybucyjna, która została już wyłączona.

Platforma jest również rozpowszechniana za pośrednictwem aplikacji kontenerowej o nazwie Onion Box, która uruchamia docelowe aplikacje w środowisku wirtualizacji. Ofiary są zazwyczaj nakłaniane za pomocą socjotechniki, prawdopodobnie przez platformy komunikacyjne lub linki phishingowe. Ponieważ przepakowane aplikacje wyglądają i działają identycznie jak oryginały, większość użytkowników nie ma żadnych sygnałów, że coś jest nie tak.

Jak uniknąć instalacji złośliwego oprogramowania?

Najbezpieczniejszym sposobem na uniknięcie tego typu zagrożeń jest pobieranie aplikacji wyłącznie z oficjalnego sklepu Google Play Store. Pliki aplikacji udostępniane przez komunikatory, media społecznościowe lub nieznane strony internetowe są częstym sposobem dostarczania zmodyfikowanego złośliwego oprogramowania. Przed instalacją czegokolwiek, nawet jeśli aplikacja wydaje się znajoma, należy sprawdzić nazwę dewelopera i przeczytać opinie użytkowników.

Należy regularnie aktualizować system operacyjny urządzenia i wszystkie zainstalowane aplikacje, ponieważ aktualizacje często zawierają ważne poprawki bezpieczeństwa. Należy unikać klikania podejrzanych linków przesyłanych przez SMS, komunikatory lub pocztę e-mail. Zainstalowanie renomowanego oprogramowania zabezpieczającego, takiego jak Combo Cleaner, pozwala wykryć i zablokować złośliwe aplikacje, zanim wyrządzą szkody.

Szybkie menu:

• Wprowadzenie
• Jak usunąć historię przeglądania z przeglądarki Chrome?
• Jak wyłączyć powiadomienia w przeglądarce Chrome?
• Jak zresetować przeglądarkę Chrome?
• Jak usunąć historię przeglądania z przeglądarki Firefox?
• Jak wyłączyć powiadomienia w przeglądarce Firefox?
• Jak zresetować przeglądarkę Firefox?
• Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
• Jak uruchomić urządzenie z systemem Android w „Trybie awaryjnym"?
• Jak sprawdzić zużycie baterii przez poszczególne aplikacje?
• Jak sprawdzić użycie danych przez poszczególne aplikacje?
• Jak zainstalować najnowsze aktualizacje oprogramowania?
• Jak przywrócić system do stanu domyślnego?
• Jak wyłączyć aplikacje posiadające uprawnienia administratora?

Usuwanie historii przeglądania z przeglądarki Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Dotknij „Wyczyść dane przeglądania", wybierz kartę „ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie dotknij „Wyczyść dane".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Ustawienia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz opcję „Ustawienia witryn", i dotknij jej. Przewiń w dół, aż zobaczysz opcję „Powiadomienia", i dotknij jej.

Znajdź strony internetowe wyświetlające powiadomienia, dotknij ich i kliknij „Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień do wyświetlania powiadomień przyznanych tym stronom. Jednak po ponownym odwiedzeniu tej samej strony może ona ponownie poprosić o pozwolenie. Możesz zdecydować, czy udzielić tych uprawnień (jeśli odmówisz, strona trafi do sekcji „Zablokowane" i nie będzie już prosić o pozwolenie).

[Wróć do Spisu treści]

Resetowanie przeglądarki Chrome:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Chrome", wybierz ją i dotknij opcji „Pamięć".

Dotknij „ZARZĄDZAJ PAMIĘCIĄ", a następnie „WYCZYŚĆ WSZYSTKIE DANE" i potwierdź działanie, dotykając „OK". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Usuwanie historii przeglądania z przeglądarki Firefox:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz „Wyczyść dane prywatne", i dotknij tej opcji. Wybierz typy danych, które chcesz usunąć, i dotknij „WYCZYŚĆ DANE".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Firefox:

Odwiedź stronę internetową wyświetlającą powiadomienia, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (nie musi to być „Kłódka") i wybierz „Edytuj ustawienia witryny".

W otwartym okienku zaznacz opcję „Powiadomienia" i dotknij „WYCZYŚĆ".

[Wróć do Spisu treści]

Resetowanie przeglądarki Firefox:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Firefox", wybierz ją i dotknij opcji „Pamięć".

Dotknij „WYCZYŚĆ DANE" i potwierdź działanie, dotykając „USUŃ". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Odinstalowywanie potencjalnie niechcianych i/lub złośliwych aplikacji:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij „Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. pojawia się komunikat o błędzie), spróbuj użyć „Trybu awaryjnego".

[Wróć do Spisu treści]

Uruchamianie urządzenia z systemem Android w „Trybie awaryjnym":

„Tryb awaryjny" w systemie operacyjnym Android tymczasowo blokuje uruchamianie wszystkich aplikacji innych firm. Korzystanie z tego trybu to dobry sposób na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają to użytkownikom, gdy urządzenie działa „normalnie").

Naciśnij przycisk „Zasilanie" i przytrzymaj go, aż zobaczysz ekran „Wyłącz". Dotknij ikony „Wyłącz" i przytrzymaj ją. Po kilku sekundach pojawi się opcja „Tryb awaryjny", którą można uruchomić, ponownie uruchamiając urządzenie.

[Wróć do Spisu treści]

Sprawdzanie zużycia baterii przez poszczególne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Konserwacja urządzenia", i dotknij tej opcji.

Dotknij „Bateria" i sprawdź zużycie przez poszczególne aplikacje. Legalne/prawdziwe aplikacje są projektowane tak, aby zużywały jak najmniej energii, zapewniając najlepsze wrażenia użytkownika i oszczędzając baterię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.

[Wróć do Spisu treści]

Sprawdzanie użycia danych przez poszczególne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Połączenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Użycie danych", i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne/prawdziwe aplikacje są projektowane tak, aby maksymalnie ograniczać użycie danych. Oznacza to, że bardzo duże użycie danych może wskazywać na obecność złośliwej aplikacji. Pamiętaj, że niektóre złośliwe aplikacje mogą być zaprojektowane tak, aby działały tylko wtedy, gdy urządzenie jest połączone z siecią bezprzewodową. Z tego powodu należy sprawdzić użycie danych zarówno mobilnych, jak i Wi-Fi.

Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy z niej nie korzystasz, zdecydowanie zalecamy jej jak najszybsze odinstalowanie.

[Wróć do Spisu treści]

Instalowanie najnowszych aktualizacji oprogramowania:

Utrzymywanie aktualności oprogramowania to dobra praktyka w zakresie bezpieczeństwa urządzenia. Producenci urządzeń nieustannie wydają różne poprawki bezpieczeństwa i aktualizacje systemu Android w celu naprawienia błędów, które mogą zostać wykorzystane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na ataki, dlatego zawsze należy upewnić się, że oprogramowanie urządzenia jest aktualne.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aktualizacja oprogramowania", i dotknij tej opcji.

Dotknij „Pobierz aktualizacje ręcznie" i sprawdź, czy są dostępne jakieś aktualizacje. Jeśli tak, natychmiast je zainstaluj. Zalecamy również włączenie opcji „Pobieraj aktualizacje automatycznie" - pozwoli ona systemowi powiadomić Cię o wydaniu aktualizacji i/lub zainstalować ją automatycznie.

[Wróć do Spisu treści]

Przywracanie systemu do stanu domyślnego:

Wykonanie „Przywracania ustawień fabrycznych" to dobry sposób na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane na urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo/audio, numery telefonów (przechowywane w pamięci urządzenia, a nie na karcie SIM), wiadomości SMS i tak dalej. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.

Można również przywrócić podstawowe ustawienia systemu i/lub tylko ustawienia sieciowe.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Informacje o telefonie", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Resetuj", i dotknij tej opcji. Teraz wybierz działanie, które chcesz wykonać:
„Resetuj ustawienia" - przywraca domyślne wartości wszystkich ustawień systemowych;
„Resetuj ustawienia sieciowe" - przywraca domyślne wartości wszystkich ustawień związanych z siecią;
„Ustawienia fabryczne" - resetuje cały system i całkowicie usuwa wszystkie przechowywane dane;

[Wróć do Spisu treści]

Wyłączanie aplikacji posiadających uprawnienia administratora:

Jeśli złośliwa aplikacja uzyska uprawnienia na poziomie administratora, może poważnie uszkodzić system. Aby zapewnić urządzeniu jak największe bezpieczeństwo, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia, i wyłączać te, które nie powinny ich mieć.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Ekran blokady i zabezpieczenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Inne ustawienia zabezpieczeń", dotknij tej opcji, a następnie dotknij „Aplikacje administratora urządzenia".

Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij „DEZAKTYWUJ".

Często zadawane pytania (FAQ)

Moje urządzenie z systemem Android jest zainfekowane złośliwym oprogramowaniem uCreator RAT. Czy powinienem sformatować nośnik pamięci, aby się go pozbyć?

Formatowanie rzadko jest konieczne do usunięcia złośliwego oprogramowania i skutkowałoby trwałą utratą danych. Zaleca się uruchomienie renomowanego mobilnego oprogramowania antywirusowego, takiego jak Combo Cleaner, w celu przeskanowania urządzenia i usunięcia uCreator RAT, co w większości przypadków powinno wystarczyć.

Jakie są największe problemy, jakie może powodować złośliwe oprogramowanie uCreator RAT?

uCreator RAT może całkowicie przejąć konta Telegram i WeChat, w tym obejść uwierzytelnianie dwuskładnikowe, aby zablokować dostęp prawowitemu właścicielowi. Może wyodrębniać pełne historie wiadomości, zbierać listy kontaktów i przechwytywać dane logowania do aplikacji finansowych, takich jak GCash.

Funkcje te mogą prowadzić do kradzieży tożsamości, oszustw finansowych i trwałej utraty dostępu do zaatakowanych kont. Ponieważ platforma jest sprzedawana wielu operatorom, zainfekowane urządzenie może być jednocześnie celem więcej niż jednego atakującego.

Jaki jest cel złośliwego oprogramowania uCreator RAT?

Większość ataków złośliwego oprogramowania jest motywowana zyskiem finansowym i uCreator RAT nie jest wyjątkiem. Jest on sprzedawany jako komercyjna platforma operatorom, którzy wykorzystują go do oszustw związanych z kontami, kradzieży finansowych i masowego zbierania kontaktów. Infrastruktura platformy sugeruje również, że może ona być wykorzystywana do ukierunkowanej inwigilacji konkretnych osób.

Jak złośliwe oprogramowanie uCreator RAT przeniknęło do mojego urządzenia z systemem Android?

uCreator RAT jest rozpowszechniany za pośrednictwem przepakowanych wersji legalnych aplikacji, takich jak Telegram i WeChat. Ofiary są zazwyczaj nakłaniane do zainstalowania zmodyfikowanego pliku APK spoza oficjalnego sklepu z aplikacjami, często za pomocą linków phishingowych lub socjotechniki stosowanej na platformach komunikacyjnych. Przepakowane aplikacje wyglądają identycznie jak oryginały, co utrudnia ich rozpoznanie.

Czy Combo Cleaner ochroni mnie przed złośliwym oprogramowaniem?

Combo Cleaner jest w stanie wykryć i wyeliminować zdecydowaną większość znanych infekcji złośliwym oprogramowaniem, w tym trojany zdalnego dostępu. Przeprowadzenie pełnego skanowania systemu jest niezbędne, ponieważ zaawansowane zagrożenia, takie jak uCreator RAT, są zaprojektowane tak, aby głęboko zagnieżdżać się w systemie.