كشف باحث أمني عن برمجية تجسس خطيرة تستهدف هواتف أندرويد، وتستطيع سرقة حسابات المستخدمين على تليجرام ووي تشات، حتى مع وجود وسائل حماية إضافية.
وتُعرف الأداة باسم uCreator، وتتيح للمهاجمين سرقة كلمات مرور التحقق بخطوتين، والوصول إلى بيانات الحسابات، والتحكم فيها عن بُعد.
وبحسب تحليل نشره الباحث الأمني Ovi في 21 أكتوبر 2026، فإن الأداة ليست برمجية خبيثة تقليدية، بل منصة تجسس تجارية يمكن تأجيرها لتنفيذ هجمات تستهدف تطبيقات مختلفة.
وتنتشر من خلال نسخ معدلة من التطبيقات الأصلية، يجري توزيعها خارج متاجر التطبيقات الرسمية.
كيف تسرق برمجية uCreator حسابات تليجرام؟
تعتمد البرمجية على إخفاء شيفرات خبيثة داخل نسخ معدلة من تطبيق تليجرام، بما يسمح لها بالعمل باستخدام هوية التطبيق وصلاحياته على الهاتف.
وتكمن إحدى أخطر قدراتها في سرقة كلمة مرور التحقق بخطوتين.
فعندما يُدخل المستخدم كلمة المرور داخل التطبيق المصاب، تستطيع البرمجية اعتراضها ونسخها قبل تحويلها إلى قيمة مشفرة.
ولا يتوقف الأمر عند سرقة بيانات تسجيل الدخول، إذ يمكن للأداة تنفيذ إجراءات خطيرة.. تشمل إنهاء جلسات الدخول الخاصة بصاحب الحساب، وتغيير رقم الهاتف المرتبط به، بل وحذف الحساب بالكامل.
كما تستطيع البرمجية الوصول إلى بيانات الرسائل داخل التطبيق، وإخفاء جلسات المهاجم من قائمة الأجهزة المتصلة التي تظهر للمستخدم في النسخة المعدلة.
وقد يؤدي ذلك إلى استمرار وصول المتسلل إلى الحساب دون أن يلاحظ صاحبه وجود اختراق.
ومع ذلك، يشير التحليل إلى أن هذه الإمكانات تمثل ما تستطيع الشيفرات تنفيذه تقنيًا.. ولا تثبت أن جميع الوظائف استُخدمت بالفعل في كل حالة إصابة.
وي تشات ضمن التطبيقات المستهدفة
لا تقتصر مخاطر uCreator على تليجرام، إذ تتضمن الأداة وحدة تستهدف تطبيق وي تشات، وتتيح تشغيل التطبيق داخل بيئة افتراضية خاصة.
ويمكن لهذه الوحدة جمع بيانات تسجيل الدخول ومعلومات الحساب.. وضغط بيانات التطبيق في ملف واحد ثم إرسالها إلى خادم المهاجمين، بما يسمح باستخدامها في استنساخ الحسابات.
ورصد الباحث شيفرات تشير إلى دعم نحو 20 تطبيقًا.. من بينها واتساب وLINE وViber وWeCom وQQ وZalo وKakaoTalk، إلى جانب تطبيقات ومحافظ رقمية أخرى.
لكن التحليل المنشور تناول بالتفصيل القدرات المرتبطة بتليجرام ووي تشات.. ولا يعني وجود شيفرات تدعم تطبيقات أخرى أن جميعها تعرضت لهجمات مؤكدة.
كيف تصل برمجية التجسس إلى هواتف أندرويد؟
تنتشر البرمجية عبر نسخ معدلة من التطبيقات، يجري تثبيتها يدويًا من مواقع خارج المتاجر الرسمية. وقد يستخدم المهاجمون إعلانات مضللة أو أساليب الهندسة الاجتماعية لإقناع المستخدم بتنزيل هذه النسخ.
وتكمن المشكلة في أن بعض النسخ المزيفة قد تستخدم اسم الحزمة نفسه الخاص بالتطبيق الأصلي، ما يجعل الاعتماد على اسم التطبيق وحده غير كافٍ للتأكد من سلامته.
وفي سياق متصل، كشفت شركة الأمن السيبراني Doctor Web في أكتوبر 2025 عن برمجية Baohuo.. التي عثر عليها داخل نسخ معدلة من تطبيق Telegram X على أندرويد.
وقدرت الشركة آنذاك أن أكثر من 58 ألف جهاز تعرض للإصابة.
كما أظهرت مقارنة تقنية لاحقة وجود أوجه تشابه بين مكونات Baohuo وأداة uCreator، لكن العلاقة الدقيقة بين الجهتين اللتين تقفان وراءهما لم تحسم بصورة نهائية.
هل تستطيع البرمجية اختراق إصدارات أندرويد الحديثة؟
اختبر الباحث محرك البرمجية على هاتف Pixel 10 Pro يعمل بنظام أندرويد 17، لكنه لم يتمكن من العثور على إحدى الوظائف الداخلية التي يعتمد عليها المحرك، بسبب تغييرات في النظام.
ومع ذلك، نجحت أداة أخرى في تنفيذ عمليات مشابهة على الهاتف نفسه.
لذلك، لا تعني هذه النتيجة أن أندرويد 17 يمنع هذا النوع من الهجمات بصورة كاملة.
ويرى الباحث أن مطوري uCreator قد يحتاجون إلى تعديل أداتهم لتتوافق مع بعض الإصدارات الحديثة، بينما لم يُثبت التحليل أن جميع الإصدارات والأجهزة محمية من هذه البرمجية.
كيف تحمي حسابك على تليجرام من التجسس؟
يمكن للمستخدمين تقليل مخاطر الإصابة ببرمجيات التجسس من خلال اتباع مجموعة من الإجراءات الوقائية:
تنزيل التطبيقات الرسمية: احرص على تثبيت تليجرام والتطبيقات الأخرى من متاجر موثوقة، وتجنب ملفات APK من المواقع المجهولة.
تجنب النسخ المعدلة: لا تثبت نسخًا غير رسمية من التطبيقات للحصول على ميزات إضافية، لأنها قد تحتوي على شيفرات خبيثة.
مراجعة الجلسات النشطة: تحقق دوريًا من الأجهزة المتصلة بحساب تليجرام، وأنهِ أي جلسة لا تتعرف عليها.
حماية كلمة مرور التحقق بخطوتين: لا تدخلها في تطبيقات غير موثوقة، وغيّرها فورًا إذا اشتبهت في تعرض حسابك للاختراق.
التعامل بحذر مع الروابط: لا تثق في الإعلانات أو الرسائل التي تدفعك إلى تنزيل تطبيقات من خارج المصادر الرسمية.
وفي حال الاشتباه في إصابة الهاتف، يُنصح بإزالة التطبيق المشبوه، واستخدام جهاز موثوق لمراجعة جلسات الحساب وتأمينه، مع تغيير كلمات المرور المتأثرة.
وتسلط هذه البرمجية الضوء على تطور أدوات التجسس التجارية التي يمكن استخدامها لاستهداف حسابات المراسلة وسرقة البيانات الشخصية.
كما تؤكد أن تفعيل التحقق بخطوتين يظل إجراءً مهمًا، لكنه لا يغني عن تثبيت التطبيقات الموثوقة وحماية الهاتف من البرمجيات الخبيثة
