---
title: "uCreator: Spyware, die innerhalb mobiler Apps läuft"
description: Analyse von uCreator, einem an Wiederverkäufer vermieteten Android-Spionage-Kit, das in legitimen Apps läuft, und der nötigen Schutzmaßnahmen.
image: https://blog.pradeo.com/hubfs/visuel_1170x480-2.png
---
[](https://pradeo.com)
- Lösungen
SICHERHEIT MOBILER GERÄTE - [Mobile Threat Defense](https://pradeo.com/de/en/solutions/mobile-device-security/mobile-threat-defense/)
- [Secure Private Store](https://pradeo.com/de/en/solutions/mobile-device-security/secure-private-store/)
SICHERHEIT MOBILE ANWENDUNGEN - [Mobile Application Compliance Audit](https://pradeo.com/de/en/solutions/mobile-application-security/application-compliance-audit/)
- [Runtime Application Self Protection](https://pradeo.com/de/en/solutions/mobile-application-security/rasp/)
- [Shielding](https://pradeo.com/de/en/solutions/mobile-application-security/application-shielding/)
- [Application Security Testing](https://pradeo.com/de/en/solutions/mobile-application-security/application-security-testing/)
- Anwendungsfälle
- [Cybersecurity in MDM/ UEM](https://pradeo.com/de/en/use-cases/cybersecurity-in-mdm-uem/)
- [Securing mobile devices](https://pradeo.com/de/en/solutions/mobile-device-security/mobile-threat-defense/)
- [Securing Mobile Applications](https://pradeo.com/de/en/solutions/mobile-application-security/application-security-testing/)
- [Malware / leakware protection](https://pradeo.com/de/en/solutions/mobile-device-security/mobile-threat-defense/)
- [Phishing protection](https://pradeo.com/de/en/solutions/mobile-device-security/mobile-threat-defense/)
- [Ensuring compliance for applications](https://pradeo.com/de/en/compliance/)
- [Ensuring compliance for mobile fleet](https://pradeo.com/de/en/compliance/)
- [Securing BYOD](https://pradeo.com/de/en/solutions/mobile-device-security/secure-private-store/)
- [Partner werden](https://pradeo.com/de/become-partner/)
- Unterlagen
- [Produktbeschreibungen](https://pradeo.com/de/en/resources/?solution-briefs)
- [Anwendungsfälle](https://pradeo.com/de/en/resources/?customer-cases)
- [Integration datenblätter](https://pradeo.com/de/en/resources/?integration-briefs)
- [Whitepapers, Berichte und Studien](https://pradeo.com/de/en/resources/?white-papers)
- [Webinare auf Abruf](https://pradeo.com/de/en/resources/?webcasts-on-demand)
- [Über uns](https://pradeo.com/de/en/about/)
- [Blog](https://blog.pradeo.com/de)
- [Kontakt](https://pradeo.com/de/de/contact/)
- DE
- [**FR**](https://blog.pradeo.com/fr)
- [**EN**](https://blog.pradeo.com)
### Thema
- Thema wählen
- [Alles](https://blog.pradeo.com/de)
- [Mobile Sicherheit](https://blog.pradeo.com/de/tag/mobile-sicherheit)
- [Nachrichten](https://blog.pradeo.com/de/tag/nachrichten)
- [Mobile App Sicherheit](https://blog.pradeo.com/de/tag/mobile-app-sicherheit)
- [Sicherheit Alert](https://blog.pradeo.com/de/tag/sicherheit-alert)
- [news](https://blog.pradeo.com/de/tag/news)
- [Expertise](https://blog.pradeo.com/de/tag/expertise)
- [Partners](https://blog.pradeo.com/de/tag/partners)
- [Security Alert](https://blog.pradeo.com/de/tag/security-alert)
- [Mobile Application Security](https://blog.pradeo.com/de/tag/mobile-application-security)
- [Mobile Security](https://blog.pradeo.com/de/tag/mobile-security)
- [Actualité](https://blog.pradeo.com/de/tag/actualité)
- [Corporate](https://blog.pradeo.com/de/tag/corporate)
- [Cybersecurity](https://blog.pradeo.com/de/tag/cybersecurity)
- [Vorhersagen](https://blog.pradeo.com/de/tag/vorhersagen)
- [Veranstaltung](https://blog.pradeo.com/de/tag/veranstaltung)
### Erhalten Sie unsere News
ANMELDEN
### Erhalten Sie unsere News
[news](https://blog.pradeo.com/de/tag/news)
# uCreator: Spyware, die innerhalb mobiler Apps läuft
By [Julie LAURENT](https://blog.pradeo.com/de/author/julie-laurent) on November, 5 2026
[mailto:?subject=Take%20a%20look%20at%20this%20article](mailto:?subject=Take%20a%20look%20at%20this%20article)
uCreator, ein Android-Spionage-Kit, das zur Miete angeboten wird, war im Oktober 2026 Gegenstand einer [Analyse](https://www.0x0v1.com/ucreator-virtualization-based-android-spyware-platform-targeting-wechat-telegram-and-other-messaging-apps/). Wie geht es vor? Es blendet nicht nur einen gefälschten Bildschirm über einer legitimen App ein, sondern nistet sich in ihr ein. Einmal installiert, kann es Unterhaltungen mitlesen, das Passwort der Zwei-Faktor-Authentifizierung stehlen und Konten übernehmen. Eine Bedrohung, die jeden Herausgeber mobiler Apps direkt betrifft.
## Eine seit mehreren Jahren aktive kommerzielle Plattform
uCreator wird als kommerzielles, schlüsselfertiges Produkt angeboten. Wiederverkäufer mieten eine Cloud-Konsole, um infizierte Geräte zu steuern. Jeder Befehl trägt die Kennung des Kunden, sodass jeder seinen eigenen Bereich verwaltet. Ein Planer verteilt die Aktivität auf Zeitfenster mit zufälligen Tageslimits, damit das Verhalten der gekaperten Konten menschlich wirkt. Erste Spuren des Produkts reichen bis September 2021 zurück, die analysierten Samples stammen aus dem Zeitraum von 2024 bis Juli 2026.
## Wie uCreator in die App eindringt
uCreator läuft innerhalb der echten App und nutzt deren Oberfläche, Logik und Daten. Dafür gibt es zwei Wege.
- **Repackaging**: Die Angreifer verbreiten eine veränderte Version der echten App, insbesondere Telegram, in die ihr Spionagecode integriert wurde.
- **Virtualisierung**: Bei WeChat kann das Kit die unveränderte Original-App in einem von ihm kontrollierten Container ausführen.
## Was uCreator ermöglicht
Einmal eingerichtet, agiert uCreator [mit der Identität und den Berechtigungen der Ziel-App](https://thehackernews.com/2026/10/ucreator-android-spyware-can-steal.html). Es öffnet einen lokalen Befehlsserver, über den der Betreiber das Gerät steuert, und lädt nach der Installation die für jede Ziel-App spezifischen Funktionen herunter. Die verfügbaren Befehle sind zahlreich.
- **Unterhaltungen lesen**: Es kann die Nachrichtendatenbank der App direkt abfragen.
- **Zwei-Faktor-Authentifizierung stehlen**: Bei Telegram kopiert es das Passwort im Klartext, noch bevor es gehasht wird.
- **Das Konto übernehmen**: Mit diesem Passwort kann es Sitzungen zurücksetzen, die verknüpfte Telefonnummer ändern oder das Konto löschen.
- **Die Identität klonen**: Bei WeChat extrahiert es die Anmeldeidentität des Kontos und verwendet sie mithilfe eines mitgelieferten Skripts auf einem anderen Gerät.
- **Unauffällig bleiben**: Es entfernt seine eigene Sitzung aus der Liste der verbundenen Geräte des Opfers und kann bestimmte Benachrichtigungen der App blockieren.
## Rund zwanzig Apps im Visier
Die Analyse beschreibt nur zwei Apps im Detail, Telegram und WeChat, doch der entdeckte Code unterstützt rund zwanzig. Zu den mutmaßlichen Zielen gehören WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber sowie die mobilen Wallets GCash und MoMo, ohne dass dies bestätigt ist. Die identifizierten Opfer scheinen sich in China und den USA zu befinden, ihre Zahl lässt sich anhand der Daten jedoch nicht bestimmen.
Die manipulierten Apps verbreiten sich per Direktdownload oder Social Engineering, außerhalb der offiziellen Stores. Bei Telegram [weist uCreator dieselben Merkmale auf wie Baohuo](https://thehackernews.com/2026/10/ucreator-android-spyware-can-steal.html), eine im Oktober 2025 beschriebene Backdoor: gleicher Code, gleicher Befehlsserver, gleiche Befehle. Baohuo verbreitete sich über Werbeanzeigen, die zu gefälschten App-Stores führten, und wurde auch auf alternativen Plattformen wie APKPure entdeckt. Im Oktober 2025 hatte die Backdoor bereits [mehr als 58.000 Geräte infiziert](https://news.drweb.com/show/?i=15076&lng=en).
## Folgen, die über den Nutzer hinausgehen
Für das Opfer kann die Folge der Verlust seines Kontos sein: gelesene Nachrichten, geklonte Identität, gelöschtes Konto. Für den Herausgeber wird eine Kopie seiner eigenen App zum Angriffsvektor. Diese Kopie behält das Erscheinungsbild, die Funktionsweise und das Vertrauen des Nutzers, wodurch der Angriff unauffälliger wird. Zudem reicht die Härtung von Android nicht aus, um die App zu schützen: Unter Android 17 zeigt die Analyse, dass das Abfangen ihrer Funktionen technisch weiterhin möglich ist.
## Auch Banking-Apps im Visier
Andere Gruppen nutzen das Klonen von Apps ebenfalls, auch gegen Banken. Im September 2026 wurde [die Vorgehensweise der Gruppe GoldFactory analysiert](https://www.group-ib.com/blog/vwork-app-cloning-gigabud-goldfactory/). Nachdem sie das Smartphone mit dem Trojaner Gigabud übernommen haben, installieren die Betrüger Vwork, ein Tool, das die Banking-App des Opfers in einem Android-Arbeitsprofil ausführt. Da dieses Profil vom privaten Profil isoliert ist, kann die Infektion dort unbemerkt bleiben, und die Bank sieht möglicherweise eine Transaktion von einem neuen Gerät, ohne Bezug zur Infektion.
In Indonesien wurden zwischen Februar und Juli 2026 rund 1.469 kompromittierte Geräte und geschätzte Verluste von fast 961.000 US-Dollar beobachtet. Das Klonen von Apps ist nicht neu, doch kriminelle Gruppen integrieren es inzwischen in ihre Werkzeuge: Die App selbst wird gegen ihre eigenen Kunden gerichtet.
## Wie Pradeo mobile Apps schützt
Angesichts dieser Techniken kann sich ein Herausgeber weder allein auf das Betriebssystem noch auf die Wachsamkeit seiner Nutzer verlassen. Die App muss überprüfen können, dass sie authentisch ist und in einer vertrauenswürdigen Umgebung läuft. Pradeo deckt diesen Bedarf ab, vom Test bis zur Laufzeit.
- **Prüfen mit MAST.** Das [Mobile Application Security Testing](https://pradeo.com/en/solutions/mobile-application-security/mobile-application-security-testing/) von Pradeo analysiert den Binärcode der App und die eingebundenen Bibliotheken. Es deckt Schwachstellen, Verhaltensweisen, Datenlecks und Tracker auf. Der Herausgeber behebt die Lücken, bevor ein Angreifer sie ausnutzt.
- **Härten mit Shielding.** [Application Shielding](https://pradeo.com/solutions/mobile-application-security/application-shielding/) verschleiert den Code, verschlüsselt Zeichenketten und Ressourcen und entfernt Debug-Informationen. Zudem integriert es eine Integritätsprüfung. Eine manipulierte Kopie wie die von uCreator verbreiteten wird aufwendiger herzustellen, und die veränderte App erkennt die Manipulation und reagiert.
- **Reagieren mit RASP.** [Runtime Application Self Protection (RASP)](https://pradeo.com/solutions/mobile-application-security/rasp/) erkennt aus der App heraus Bedrohungen auf dem Gerät: Bildschirm-Overlays, Keylogging, ungesicherte Verbindungen, ein manipuliertes System oder die Ausführung in einem Emulator. Die App reagiert in Echtzeit nach den vom Herausgeber festgelegten Regeln.
###### Über den Autor
[More from this author](https://blog.pradeo.com/de/author/julie-laurent)
###### Julie LAURENT
#### Recommended articles
[](https://blog.pradeo.com/de/spionage-mobilgarte-sind-bevorzugte-ziele)
###### [Spionage: Mobilgeräte sind bevorzugte Ziele](https://blog.pradeo.com/de/spionage-mobilgarte-sind-bevorzugte-ziele)
\- Oktober 29, 2026
[-2.png)](https://blog.pradeo.com/de/datenkontrolle-warum-ein-lokaler-hosting-standort-nicht-ausreicht)
###### [Datenkontrolle: Warum ein lokaler Hosting-Standort nicht ausreicht](https://blog.pradeo.com/de/datenkontrolle-warum-ein-lokaler-hosting-standort-nicht-ausreicht)
\- Oktober 8, 2026
### Populäre Artikel
### Erhalten Sie unsere News
### Neueste Artikel
### Neueste Artikel
[uCreator: Spyware, die innerhalb mobiler Apps läuft](https://blog.pradeo.com/de/ucreator-spyware-die-innerhalb-mobiler-apps-läuft)
\- 5 November, 2026
[Spionage: Mobilgeräte sind bevorzugte Ziele](https://blog.pradeo.com/de/spionage-mobilgarte-sind-bevorzugte-ziele)
\- 5 November, 2026
[Datenkontrolle: Warum ein lokaler Hosting-Standort nicht ausreicht](https://blog.pradeo.com/de/datenkontrolle-warum-ein-lokaler-hosting-standort-nicht-ausreicht)
\- 5 November, 2026
[RedHook: Der Banking-Trojaner, der sich selbst Systemrechte auf Android verschafft](https://blog.pradeo.com/de/redhook-der-banking-trojaner-der-sich-selbst-systemrechte-auf-android-verschafft)
\- 5 November, 2026
[Was der neueste Google-Bericht über mobile Bedrohungen enthüllt](https://blog.pradeo.com/de/was-der-neueste-google-bericht-uber-mobile-bedrohungen-enthullt)
\- 5 November, 2026
### Thema
- [Mobile Sicherheit (42)](https://blog.pradeo.com/de/tag/mobile-sicherheit)
- [Nachrichten (29)](https://blog.pradeo.com/de/tag/nachrichten)
- [Mobile App Sicherheit (26)](https://blog.pradeo.com/de/tag/mobile-app-sicherheit)
- [Sicherheit Alert (25)](https://blog.pradeo.com/de/tag/sicherheit-alert)
- [news (17)](https://blog.pradeo.com/de/tag/news)
- [Expertise (11)](https://blog.pradeo.com/de/tag/expertise)
- [Partners (6)](https://blog.pradeo.com/de/tag/partners)
- [Security Alert (5)](https://blog.pradeo.com/de/tag/security-alert)
- [Mobile Application Security (3)](https://blog.pradeo.com/de/tag/mobile-application-security)
- [Mobile Security (3)](https://blog.pradeo.com/de/tag/mobile-security)
- [Actualité (2)](https://blog.pradeo.com/de/tag/actualité)
- [Corporate (2)](https://blog.pradeo.com/de/tag/corporate)
- [Cybersecurity (2)](https://blog.pradeo.com/de/tag/cybersecurity)
- [Vorhersagen (2)](https://blog.pradeo.com/de/tag/vorhersagen)
- [Veranstaltung (1)](https://blog.pradeo.com/de/tag/veranstaltung)
mehr sehen
[](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/2378615/a1603fd4-ffdd-4c3a-8c2d-943b2586ec15)
### Nehmen Sie Kontakt mit Experten für mobile Sicherheit auf
[Kontaktaufnahme](https://www.pradeo.com/de-DE/kontakt)
[](https://pradeo.com)
Als europäischer Marktführer für mobile Sicherheit schützt Pradeo die mobilen Geräte und Anwendungen von Unternehmen.
[Weiter lesen](https://www.pradeo.com/en-US/)
- [Ressourcen](https://www.pradeo.com/de-DE/support-unterlagen#white_papers)
- [UEM Sicherheit](https://www.pradeo.com/de-DE/uem-mdm-security)
- [Anwendungsfälle](https://www.pradeo.com/de-DE/support-unterlagen#use-case)
- [Datenschutzgrundsätze](https://www.prahttps://www.pradeo.com/de-DE/mobile-data-privacy-regulationdeo.com/fr-FR/lois-protection-donnees-mobile)
- [Kontakt](https://www.pradeo.com/de-DE/kontakt)
- [Mobile Threat Defense](https://www.pradeo.com/de-DE/mobile-threat-defense)
- [Mobile Application Security Testing](https://www.pradeo.com/de-DE/mobile-app-security-testing)
- [In-App Protection](https://www.pradeo.com/de-DE/runtime-app-self-protection)
- [Sicherer Privat Store](https://www.pradeo.com/de-DE/private-app-store)
- [Mobile Threat Intelligence](https://www.pradeo.com/de-DE/mobile-threat-intelligence#perso-threat-intelligence)
[contact@pradeo.com](mailto:contact@pradeo.com)
Copyright @ 2022. All Right Reserved.
-
-
-
```json
{
"@context" : "http://schema.org",
"@type" : "BlogPosting",
"author" : {
"@type" : "Person",
"name" : "Julie LAURENT"
},
"dateModified" : "November 5, 2026, 10:49:25",
"datePublished" : "2026-11-05 10:49:25",
"description" : "Analyse von uCreator, einem an Wiederverkäufer vermieteten Android-Spionage-Kit, das in legitimen Apps läuft, und der nötigen Schutzmaßnahmen.",
"headline" : "uCreator: Spyware, die innerhalb mobiler Apps läuft",
"image" : {
"@type" : "ImageObject",
"url" : "https://2378615.fs1.hubspotusercontent-eu1.net/hubfs/2378615/visuel_1170x480-2.png"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://2378615.fs1.hubspotusercontent-eu1.net/hubfs/2378615/Logo%20Pradeo%20D%C3%A9grad%C3%A9%20Long%20Couleurs.svg"
},
"name" : "Pradeo"
}
}
```