Come rimuovere il trojan di accesso remoto uCreator da Android

Che tipo di malware è uCreator RAT?

uCreator RAT (venduto dal suo sviluppatore con il nome YingGai) è una sofisticata piattaforma spyware per Android e un trojan ad accesso remoto. Sfrutta la virtualizzazione delle app per strumentare silenziosamente applicazioni di messaggistica e di pagamento legittime sui dispositivi infetti. Secondo una ricerca pubblicata da 0x0v1, prende di mira gli utenti di WeChat, Telegram, GCash e di oltre una dozzina di altre app di messaggistica e finanziarie.

Panoramica del malware uCreator RAT

uCreator RAT non è una tradizionale applicazione dannosa autonoma. Si tratta di una piattaforma di sorveglianza commerciale venduta con il nome YingGai, costruita attorno al concetto di «controllo di massa». La piattaforma combina un motore di virtualizzazione delle app, moduli di hook specifici per ciascun obiettivo, un'infrastruttura di controllo basata su cloud e una console per operatori Windows utilizzata per gestire i dispositivi compromessi.

La piattaforma ottiene l'accesso ad app legittime utilizzando strumenti come LSPatch e Pine, basati sul framework di hooking Xposed. Questi strumenti caricano il codice dell'app presa di mira all'interno di un processo controllato senza richiedere l'accesso root al dispositivo. L'app presa di mira sembra funzionare normalmente, mentre il malware viene eseguito in modo invisibile all'interno del suo stesso spazio di processo.

uCreator RAT è progettato per attaccare app di messaggistica e finanziarie diffuse in Cina e nel Sud-est asiatico. Gli obiettivi confermati includono WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo e GCash. Le prove recuperate da un server C2 indicano che le vittime si trovavano in Cina e negli Stati Uniti.

Il modulo per Telegram è il componente più invasivo scoperto. Invece di copiare i file del database dal dispositivo, esegue query SQL in tempo reale sul database SQLite interno attivo di Telegram, leggendo la cronologia dei messaggi con i permessi e gli handle dell'app stessa.

Lo stesso modulo si aggancia inoltre alla routine di autenticazione a due fattori di Telegram per acquisire la password dell'account in chiaro, prima che venga sottoposta a hashing o trasmessa. Con questa password, un operatore può elencare le sessioni attive e rimuovere i dispositivi attendibili dall'elenco di quelli autorizzati.

La piattaforma include anche codice dedicato a escludere completamente il legittimo proprietario dal proprio account. Questa capacità di blocco dell'account è una funzionalità intenzionale e con un nome preciso, non un effetto collaterale accidentale. Nel peggiore dei casi, un aggressore potrebbe assumere il pieno controllo di un account Telegram e impedire alla vittima di recuperarlo.

Ogni applicazione agganciata espone un server di comandi HTTP locale con circa 40 gestori numerati. Questi coprono il recupero dei contatti, la raccolta degli SMS, le query al database, l'invio di messaggi e la manipolazione delle sessioni. I comandi arrivano tramite un bus di messaggi Redis e vengono eseguiti all'interno del processo dell'app presa di mira con l'identità e i permessi di quest'ultima.

Oltre alle app di messaggistica, la piattaforma include una funzionalità di falsificazione della fotocamera concepita per aggirare i controlli di liveness know-your-customer (KYC) utilizzati dai servizi finanziari. Il modulo per WeChat si concentra sulla clonazione degli account: raccoglie le credenziali di accesso e gli elenchi dei contatti, quindi esegue il backup completo dei dati dell'account nell'archivio cloud dell'operatore.

Un'istanza GitLab esposta ha reso pubblico l'intero codice sorgente del backend della piattaforma, inclusa una console per operatori multi-tenant noleggiata da clienti a valle. La cronologia dei commit ha identificato circa tre dozzine di sviluppatori a Changsha, in Cina, con commit risalenti fino all'autunno 2026. L'infrastruttura supporta più operatori contemporaneamente, ciascuno dei quali prende di mira la propria flotta di dispositivi delle vittime.

Va menzionato che gli sviluppatori di malware migliorano spesso i propri software e le proprie metodologie. Le versioni future di uCreator RAT potrebbero ampliare l'elenco delle applicazioni prese di mira o introdurre funzionalità aggiuntive. In sintesi, la presenza di software come uCreator RAT su un dispositivo può portare al furto degli account, a gravi violazioni della privacy, a perdite finanziarie e al furto d'identità.

Esempi di trojan di accesso remoto

uCreator RAT si distingue tra le minacce per Android per l'utilizzo della virtualizzazione delle app sul dispositivo. Questo approccio lo rende particolarmente difficile da rilevare per gli strumenti di sicurezza, poiché il malware opera all'interno del processo di un'app legittima anziché essere eseguito come applicazione sospetta autonoma.

Altri esempi di trojan di accesso remoto che prendono di mira Android includono RatHat, Night Dragon e Flying Eagle. I malware di questo tipo vengono comunemente utilizzati per rubare dati personali, commettere frodi finanziarie e spiare le vittime a loro insaputa.

Indipendentemente dalla minaccia specifica, i criminali informatici sviluppano continuamente nuovi strumenti per prendere di mira gli utenti di dispositivi mobili. Prestare attenzione alle fonti di installazione delle app e mantenere attivo un software di sicurezza sono le difese più affidabili a disposizione degli utenti comuni.

Come si è infiltrato uCreator RAT nel mio dispositivo?

uCreator RAT raggiunge i dispositivi tramite copie ripacchettizzate di applicazioni legittime. I ricercatori hanno individuato versioni modificate di Telegram distribuite tramite sideloading, in cui gli utenti vengono indotti a installare manualmente file APK al di fuori del Google Play Store ufficiale. Un dominio di distribuzione dedicato forniva questi APK modificati, anche se da allora è stato disattivato.

La piattaforma viene distribuita anche tramite un'app contenitore chiamata Onion Box, che ospita le app prese di mira all'interno dell'ambiente di virtualizzazione. Le vittime vengono in genere avvicinate tramite tecniche di ingegneria sociale, probabilmente attraverso piattaforme di messaggistica o link di phishing. Poiché le app ripacchettizzate hanno lo stesso aspetto e lo stesso comportamento delle originali, la maggior parte degli utenti non ha alcun indizio che qualcosa non vada.

Come evitare l'installazione di malware?

Il modo più sicuro per evitare questo tipo di minaccia è scaricare le app esclusivamente dal Google Play Store ufficiale. I file di app condivisi tramite app di messaggistica, social media o siti web sconosciuti sono un comune meccanismo di diffusione di malware modificati. Verifichi il nome dello sviluppatore e legga le recensioni degli utenti prima di installare qualsiasi cosa, anche se l'app sembra familiare.

Mantenga aggiornati il sistema operativo del dispositivo e tutte le app installate, poiché gli aggiornamenti includono spesso importanti patch di sicurezza. Eviti di cliccare su link sospetti inviati tramite SMS, app di messaggistica o email. L'installazione di un software di sicurezza affidabile come Combo Cleaner può rilevare e bloccare le applicazioni dannose prima che causino danni.

Menu rapido:

• Introduzione
• Come eliminare la cronologia di navigazione dal browser web Chrome?
• Come disattivare le notifiche del browser nel browser web Chrome?
• Come ripristinare il browser web Chrome?
• Come eliminare la cronologia di navigazione dal browser web Firefox?
• Come disattivare le notifiche del browser nel browser web Firefox?
• Come ripristinare il browser web Firefox?
• Come disinstallare le applicazioni potenzialmente indesiderate e/o dannose?
• Come avviare il dispositivo Android in «Modalità provvisoria»?
• Come controllare il consumo della batteria delle varie applicazioni?
• Come controllare il consumo di dati delle varie applicazioni?
• Come installare gli ultimi aggiornamenti software?
• Come ripristinare il sistema allo stato predefinito?
• Come disattivare le applicazioni con privilegi di amministratore?

Eliminare la cronologia di navigazione dal browser web Chrome:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Cronologia» nel menu a discesa aperto.

Tocchi «Cancella dati di navigazione», selezioni la scheda «AVANZATE», scelga l'intervallo di tempo e i tipi di dati che desidera eliminare e tocchi «Cancella dati».

[Torna al Sommario]

Disattivare le notifiche del browser nel browser web Chrome:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Impostazioni» nel menu a discesa aperto.

Scorra verso il basso fino a visualizzare l'opzione «Impostazioni sito» e la tocchi. Scorra verso il basso fino a visualizzare l'opzione «Notifiche» e la tocchi.

Individui i siti web che inviano notifiche del browser, li tocchi e faccia clic su «Cancella e reimposta». In questo modo verranno rimosse le autorizzazioni concesse a questi siti web per l'invio di notifiche. Tuttavia, quando visiterà nuovamente lo stesso sito, questo potrebbe richiedere di nuovo l'autorizzazione. Può scegliere se concedere o meno queste autorizzazioni (se sceglie di rifiutare, il sito web verrà spostato nella sezione «Bloccati» e non Le chiederà più l'autorizzazione).

[Torna al Sommario]

Ripristinare il browser web Chrome:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a trovare l'applicazione «Chrome», la selezioni e tocchi l'opzione «Archiviazione».

Tocchi «GESTISCI ARCHIVIAZIONE», quindi «CANCELLA TUTTI I DATI» e confermi l'azione toccando «OK». Tenga presente che il ripristino del browser eliminerà tutti i dati in esso memorizzati. Ciò significa che tutti gli accessi/password salvati, la cronologia di navigazione, le impostazioni non predefinite e gli altri dati verranno eliminati. Dovrà inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Eliminare la cronologia di navigazione dal browser web Firefox:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Cronologia» nel menu a discesa aperto.

Scorra verso il basso fino a visualizzare «Cancella dati personali» e lo tocchi. Selezioni i tipi di dati che desidera rimuovere e tocchi «CANCELLA DATI».

[Torna al Sommario]

Disattivare le notifiche del browser nel browser web Firefox:

Visiti il sito web che invia le notifiche del browser, tocchi l'icona visualizzata a sinistra della barra degli indirizzi (l'icona non sarà necessariamente un «Lucchetto») e selezioni «Modifica impostazioni sito».

Nella finestra pop-up aperta, selezioni l'opzione «Notifiche» e tocchi «CANCELLA».

[Torna al Sommario]

Ripristinare il browser web Firefox:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a trovare l'applicazione «Firefox», la selezioni e tocchi l'opzione «Archiviazione».

Tocchi «CANCELLA DATI» e confermi l'azione toccando «ELIMINA». Tenga presente che il ripristino del browser eliminerà tutti i dati in esso memorizzati. Ciò significa che tutti gli accessi/password salvati, la cronologia di navigazione, le impostazioni non predefinite e gli altri dati verranno eliminati. Dovrà inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Disinstallare le applicazioni potenzialmente indesiderate e/o dannose:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a visualizzare un'applicazione potenzialmente indesiderata e/o dannosa, la selezioni e tocchi «Disinstalla». Se, per qualche motivo, non riesce a rimuovere l'app selezionata (ad esempio, viene visualizzato un messaggio di errore), dovrebbe provare a utilizzare la «Modalità provvisoria».

[Torna al Sommario]

Avviare il dispositivo Android in «Modalità provvisoria»:

La «Modalità provvisoria» del sistema operativo Android impedisce temporaneamente l'esecuzione di tutte le applicazioni di terze parti. L'utilizzo di questa modalità è un buon modo per diagnosticare e risolvere vari problemi (ad esempio, rimuovere applicazioni dannose che impediscono agli utenti di farlo quando il dispositivo funziona «normalmente»).

Prema il pulsante «Accensione» e lo tenga premuto fino a visualizzare la schermata «Spegni». Tocchi l'icona «Spegni» e la tenga premuta. Dopo alcuni secondi comparirà l'opzione «Modalità provvisoria» e potrà avviarla riavviando il dispositivo.

[Torna al Sommario]

Controllare il consumo della batteria delle varie applicazioni:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Manutenzione dispositivo» e lo tocchi.

Tocchi «Batteria» e controlli il consumo di ciascuna applicazione. Le applicazioni legittime/autentiche sono progettate per consumare quanta meno energia possibile, al fine di offrire la migliore esperienza utente e risparmiare energia. Pertanto, un elevato consumo della batteria può indicare che l'applicazione è dannosa.

[Torna al Sommario]

Controllare il consumo di dati delle varie applicazioni:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Connessioni» e lo tocchi.

Scorra verso il basso fino a visualizzare «Utilizzo dati» e selezioni questa opzione. Come per la batteria, le applicazioni legittime/autentiche sono progettate per ridurre al minimo il consumo di dati. Ciò significa che un consumo di dati molto elevato può indicare la presenza di un'applicazione dannosa. Tenga presente che alcune applicazioni dannose potrebbero essere progettate per funzionare solo quando il dispositivo è connesso a una rete wireless. Per questo motivo, dovrebbe controllare sia il consumo di dati mobili sia quello Wi-Fi.

Se trova un'applicazione che consuma molti dati pur non utilizzandola mai, Le consigliamo vivamente di disinstallarla il prima possibile.

[Torna al Sommario]

Installare gli ultimi aggiornamenti software:

Mantenere il software aggiornato è una buona pratica per la sicurezza del dispositivo. I produttori di dispositivi rilasciano continuamente varie patch di sicurezza e aggiornamenti Android per correggere errori e bug che potrebbero essere sfruttati dai criminali informatici. Un sistema obsoleto è molto più vulnerabile, motivo per cui dovrebbe sempre assicurarsi che il software del Suo dispositivo sia aggiornato.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Aggiornamento software» e lo tocchi.

Tocchi «Scarica aggiornamenti manualmente» e verifichi se sono disponibili aggiornamenti. In tal caso, li installi immediatamente. Consigliamo inoltre di attivare l'opzione «Scarica aggiornamenti automaticamente»: consentirà al sistema di avvisarLa quando viene rilasciato un aggiornamento e/o di installarlo automaticamente.

[Torna al Sommario]

Ripristinare il sistema allo stato predefinito:

Eseguire un «Ripristino dati di fabbrica» è un buon modo per rimuovere tutte le applicazioni indesiderate, ripristinare le impostazioni predefinite del sistema e pulire il dispositivo in generale. Tuttavia, deve tenere presente che tutti i dati presenti nel dispositivo verranno eliminati, incluse foto, file video/audio, numeri di telefono (memorizzati nel dispositivo, non nella scheda SIM), messaggi SMS e così via. In altre parole, il dispositivo verrà riportato al suo stato originale.

Può anche ripristinare solo le impostazioni di sistema di base e/o semplicemente le impostazioni di rete.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Info sul telefono» e lo tocchi.

Scorra verso il basso fino a visualizzare «Ripristina» e lo tocchi. Ora scelga l'azione che desidera eseguire:
«Ripristina impostazioni» - ripristina tutte le impostazioni di sistema ai valori predefiniti;
«Ripristina impostazioni di rete» - ripristina tutte le impostazioni relative alla rete ai valori predefiniti;
«Ripristino dati di fabbrica» - ripristina l'intero sistema ed elimina completamente tutti i dati memorizzati;

[Torna al Sommario]

Disattivare le applicazioni con privilegi di amministratore:

Se un'applicazione dannosa ottiene privilegi di livello amministratore, può danneggiare gravemente il sistema. Per mantenere il dispositivo il più sicuro possibile, dovrebbe sempre verificare quali app dispongono di tali privilegi e disattivare quelle che non dovrebbero averli.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Schermata di blocco e sicurezza» e lo tocchi.

Scorra verso il basso fino a visualizzare «Altre impostazioni di sicurezza», lo tocchi e poi tocchi «App di amministrazione dispositivo».

Individui le applicazioni che non dovrebbero avere privilegi di amministratore, le tocchi e poi tocchi «DISATTIVA».

Domande frequenti (FAQ)

Il mio dispositivo Android è infetto dal malware uCreator RAT, devo formattare il dispositivo di archiviazione per eliminarlo?

La formattazione è raramente necessaria per la rimozione del malware e comporterebbe la perdita permanente dei dati. Si consiglia di utilizzare un software antivirus per dispositivi mobili affidabile come Combo Cleaner per eseguire la scansione e rimuovere uCreator RAT, cosa che nella maggior parte dei casi dovrebbe essere sufficiente.

Quali sono i problemi più gravi che il malware uCreator RAT può causare?

uCreator RAT può assumere il pieno controllo degli account Telegram e WeChat, aggirando anche l'autenticazione a due fattori per escludere il legittimo proprietario. Può estrarre l'intera cronologia dei messaggi, raccogliere gli elenchi dei contatti e acquisire le credenziali di accesso di app finanziarie come GCash.

Queste capacità possono portare al furto d'identità, a frodi finanziarie e alla perdita permanente dell'accesso agli account colpiti. Poiché la piattaforma viene venduta a più operatori, un dispositivo compromesso potrebbe essere preso di mira da più di un attore contemporaneamente.

Qual è lo scopo del malware uCreator RAT?

La maggior parte degli attacchi malware è motivata dal guadagno economico e uCreator RAT non fa eccezione. Viene venduto come piattaforma commerciale a operatori che lo utilizzano per frodi sugli account, furti finanziari e raccolta di contatti su larga scala. L'infrastruttura della piattaforma suggerisce inoltre che possa essere utilizzata per la sorveglianza mirata di persone specifiche.

Come si è infiltrato il malware uCreator RAT nel mio dispositivo Android?

uCreator RAT viene distribuito tramite versioni ripacchettizzate di app legittime come Telegram e WeChat. Le vittime vengono in genere indotte a installare un file APK modificato al di fuori dello store ufficiale delle app, spesso tramite link di phishing o tecniche di ingegneria sociale attraverso piattaforme di messaggistica. Le app ripacchettizzate hanno un aspetto identico alle originali, il che le rende difficili da individuare.

Combo Cleaner mi proteggerà dal malware?

Combo Cleaner è in grado di rilevare ed eliminare la stragrande maggioranza delle infezioni malware note, inclusi i trojan di accesso remoto. È fondamentale eseguire una scansione completa del sistema, poiché le minacce sofisticate come uCreator RAT sono progettate per annidarsi in profondità nel sistema.