uCreator : un spyware qui s’exécute à l’intérieur des applications mobiles

Une plateforme commerciale active depuis plusieurs années

uCreator se présente comme un produit commercial, vendu clé en main. Des revendeurs louent une console cloud pour piloter les appareils infectés. Chaque commande porte l’identifiant du client, ce qui permet à chacun de gérer son propre périmètre. Un planificateur répartit l’activité par plages horaires, avec des plafonds quotidiens aléatoires, pour que le comportement des comptes détournés paraisse humain. Les premières traces du produit remontent à septembre 2021, et les échantillons analysés s’échelonnent de 2024 à juillet 2026.

Comment uCreator s’infiltre dans l’application

uCreator s’exécute à l’intérieur de l’application réelle, dont il exploite l’interface, la logique et les données. Pour y parvenir, il emprunte deux chemins.

• Le reconditionnement : les attaquants diffusent une version modifiée de la vraie application, Telegram notamment, dans laquelle leur code espion a été intégré.

• La virtualisation : pour WeChat, le kit peut exécuter l’application d’origine, non modifiée, dans un conteneur qu’il contrôle.

Ce que uCreator permet

Une fois en place, uCreator agit avec l’identité et les permissions de l’application ciblée. Il ouvre un serveur de commandes local, par lequel l’opérateur pilote l’appareil, et télécharge après l’installation les fonctions propres à chaque application visée. Les commandes disponibles sont très nombreuses.

• Lire les conversations : Il peut interroger directement la base de données des messages de l'application.

• Voler la double authentification : sur Telegram, il copie le mot de passe en clair, avant même qu'il ne soit haché.
• Prendre le contrôle du compte : avec ce mot de passe, il peut réinitialiser les sessions, changer le numéro de téléphone associé ou supprimer le compte.
• Cloner l'identité : sur WeChat, il extrait l'identité de connexion du compte et la réutilise sur un autre appareil grâce à un script fourni avec le kit.
• Rester discret : il retire sa propre session de la liste des appareils connectés de la victime et peut bloquer certaines notifications de l’application.
  

Une vingtaine d'applications dans le viseur

L’analyse ne détaille que 2 applications, Telegram et WeChat, mais le code découvert en prend en charge une vingtaine. Parmi les cibles apparentes figurent WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber et les portefeuilles mobiles GCash et MoMo, sans que cela ne soit confirmé. Les victimes repérées semblent se trouver en Chine et aux États-Unis, mais les données ne permettent pas d'en établir le nombre.

Les applications piégées circulent par téléchargement direct ou par ingénierie sociale, hors des stores officiels. Sur Telegram, uCreator présente les mêmes caractéristiques que Baohuo, une porte dérobée décrite en octobre 2025 : même code, même serveur de commande, mêmes commandes. Baohuo se diffusait par des publicités menant à de faux magasins d’applications, et avait aussi été repérée sur des plateformes alternatives comme APKPure. En octobre 2025, elle avait déjà infecté plus de 58 000 appareils.

Un impact qui dépasse l'utilisateur

 Pour la victime, la conséquence peut être la perte de son compte : messages lus, identité clonée, compte supprimé. Pour l’éditeur, c’est une copie de sa propre application qui sert de vecteur à l’attaque. Cette copie conserve l’apparence, le fonctionnement et la confiance de l’utilisateur, ce qui rend l’attaque plus discrète. Et le durcissement d’Android ne suffit pas à protéger l’application : sur Android 17, l’analyse montre que l’interception de ses fonctions reste techniquement possible.

Les applications bancaires aussi dans le viseur

D’autres groupes exploitent le clonage d’applications, y compris contre les banques. En septembre 2026, le mode opératoire du groupe GoldFactory a été analysé. Après avoir pris le contrôle du téléphone avec le cheval de Troie Gigabud, les fraudeurs installent Vwork, un outil qui exécute l’application bancaire de la victime dans un profil professionnel Android. Ce profil étant isolé du profil personnel, l’infection peut y passer inaperçue, et la banque peut voir une transaction venant d’un nouvel appareil, sans lien avec l’infection.

En Indonésie, entre février et juillet 2026, environ 1 469 appareils compromis et près de 961 000 dollars de pertes estimées ont été observés. Le clonage d’applications n’est pas nouveau, mais les groupes criminels l’intègrent désormais à leurs outils : c’est l’application elle-même qui est retournée contre ses propres clients.

Comment Pradeo protège les applications mobiles

Face à ces techniques, un éditeur ne peut compter ni sur le système d’exploitation seul, ni sur la vigilance de ses utilisateurs. L’application doit pouvoir vérifier qu’elle est authentique et qu’elle s’exécute dans un environnement de confiance. Pradeo couvre ce besoin, du test jusqu’à l’exécution.

• Auditer avec le MAST. Le Mobile Application Security Testing de Pradeo analyse le code binaire de l’application et les bibliothèques qu’elle embarque. Il révèle ses vulnérabilités, ses comportements, ses fuites de données et ses trackers. L’éditeur corrige les failles avant qu’un attaquant ne les exploite.

• Durcir avec le Shielding. L’Application Shielding obfusque le code, chiffre les chaînes de caractères et les ressources, et supprime les informations de debug. Il intègre aussi une vérification d’intégrité. Une copie piégée comme celles diffusées par uCreator devient plus coûteuse à produire, et l’application modifiée détecte l’altération et réagit.

• Réagir avec le RASP. Le Runtime Application Self Protection (RASP) détecte depuis l’application les menaces présentes sur l’appareil : superposition d’écran, enregistrement de frappe, connexion non sécurisée, système altéré ou exécution dans un émulateur. L’application y répond en temps réel selon les règles définies par l’éditeur.