Como remover o trojan de acesso remoto uCreator do Android

Que tipo de malware é o uCreator RAT?

O uCreator RAT (vendido pelo seu programador sob o nome YingGai) é uma sofisticada plataforma de spyware e trojan de acesso remoto para Android. Utiliza a virtualização de aplicações para instrumentar silenciosamente aplicações legítimas de mensagens e pagamentos nos dispositivos infetados. De acordo com uma investigação publicada por 0x0v1, tem como alvo os utilizadores do WeChat, Telegram, GCash e de mais de uma dúzia de outras aplicações de mensagens e financeiras.

Visão geral do malware uCreator RAT

O uCreator RAT não é uma aplicação maliciosa autónoma tradicional. Trata-se de uma plataforma comercial de vigilância vendida sob o nome YingGai, construída em torno do conceito de “controlo em massa”. A plataforma combina um motor de virtualização de aplicações, módulos de hooking específicos para cada alvo, uma infraestrutura de controlo baseada na nuvem e uma consola de operador para Windows utilizada para gerir os dispositivos comprometidos.

A plataforma obtém acesso a aplicações legítimas através de ferramentas como LSPatch e Pine, construídas sobre a framework de hooking Xposed. Estas ferramentas carregam o código da aplicação alvo dentro de um processo controlado, sem necessidade de acesso root ao dispositivo. A aplicação alvo parece funcionar normalmente, enquanto o malware é executado de forma invisível no seu próprio espaço de processo.

O uCreator RAT foi concebido para atacar aplicações de mensagens e financeiras populares na China e no Sudeste Asiático. Os alvos confirmados incluem WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo e GCash. Provas recuperadas de um servidor C2 indicam que existem vítimas localizadas na China e nos Estados Unidos.

O módulo do Telegram é o componente mais invasivo descoberto. Em vez de copiar ficheiros de base de dados do dispositivo, executa consultas SQL em tempo real na base de dados interna SQLite ativa do próprio Telegram, lendo o histórico de mensagens com as permissões e identificadores da própria aplicação.

O mesmo módulo interceta também a rotina de autenticação de dois fatores do Telegram para capturar a palavra-passe da conta em texto simples, antes de esta ser sequer convertida em hash ou transmitida. Com essa palavra-passe, um operador pode enumerar as sessões ativas e remover dispositivos de confiança da lista de dispositivos autorizados.

A plataforma inclui ainda código dedicado a impedir completamente o acesso do proprietário legítimo à sua própria conta. Esta capacidade de bloqueio de conta é uma funcionalidade intencional e com nome próprio, e não um efeito secundário acidental. No pior cenário, um atacante poderia assumir o controlo total de uma conta do Telegram e impedir a vítima de a recuperar.

Cada aplicação intercetada expõe um servidor local de comandos HTTP com cerca de 40 handlers numerados. Estes abrangem a obtenção de contactos, a recolha de SMS, consultas à base de dados, o envio de mensagens e a manipulação de sessões. Os comandos chegam através de um barramento de mensagens Redis e são executados dentro do processo da aplicação alvo, com a identidade e as permissões da própria aplicação.

Para além das aplicações de mensagens, a plataforma inclui uma capacidade de falsificação da câmara destinada a contornar as verificações de prova de vida conheça o seu cliente (KYC) utilizadas por serviços financeiros. O módulo do WeChat centra-se na clonagem de contas: recolhe credenciais de início de sessão e listas de contactos e, em seguida, cria cópias de segurança completas dos dados da conta no armazenamento na nuvem do operador.

Uma instância GitLab exposta revelou o código-fonte completo do backend da plataforma, incluindo uma consola de operador multi-inquilino alugada por clientes a jusante. O histórico de commits identificou cerca de três dezenas de programadores em Changsha, na China, com commits realizados ainda no outono de 2026. A infraestrutura suporta vários operadores em simultâneo, cada um visando a sua própria frota de dispositivos de vítimas.

Importa referir que os programadores de malware melhoram frequentemente o seu software e as suas metodologias. Versões futuras do uCreator RAT poderão alargar a lista de aplicações visadas ou introduzir capacidades adicionais. Em suma, a presença de software como o uCreator RAT num dispositivo pode resultar no sequestro de contas, em graves violações de privacidade, em perdas financeiras e em roubo de identidade.

Exemplos de trojans de acesso remoto

O uCreator RAT destaca-se entre as ameaças para Android pela utilização de virtualização de aplicações no próprio dispositivo. Esta abordagem torna-o especialmente difícil de detetar pelas ferramentas de segurança, uma vez que o malware opera dentro do processo de uma aplicação legítima, em vez de ser executado como uma aplicação suspeita autónoma.

Outros exemplos de trojans de acesso remoto direcionados para Android incluem RatHat, Night Dragon e Flying Eagle. Este tipo de malware é habitualmente utilizado para roubar dados pessoais, cometer fraude financeira e espiar as vítimas sem o seu conhecimento.

Independentemente da ameaça específica, os cibercriminosos desenvolvem continuamente novas ferramentas para atacar os utilizadores de dispositivos móveis. Ter cuidado com as fontes de instalação de aplicações e manter o software de segurança ativo são as defesas mais fiáveis ao dispor dos utilizadores comuns.

Como é que o uCreator RAT se infiltrou no meu dispositivo?

O uCreator RAT chega aos dispositivos através de cópias reempacotadas de aplicações legítimas. Os investigadores encontraram versões modificadas do Telegram distribuídas através de sideloading, em que os utilizadores são instruídos a instalar ficheiros APK manualmente fora da Google Play Store oficial. Um domínio de distribuição dedicado disponibilizava estes APK modificados, embora tenha entretanto sido desativado.

A plataforma é também distribuída através de uma aplicação contentora chamada Onion Box, que aloja as aplicações alvo dentro do ambiente de virtualização. As vítimas são normalmente abordadas através de engenharia social, provavelmente através de plataformas de mensagens ou de links de phishing. Como as aplicações reempacotadas têm um aspeto e um comportamento idênticos aos originais, a maioria dos utilizadores não tem qualquer indicação de que algo esteja errado.

Como evitar a instalação de malware?

A forma mais segura de evitar este tipo de ameaça é transferir aplicações apenas a partir da Google Play Store oficial. Ficheiros de aplicações partilhados através de aplicações de mensagens, redes sociais ou sites desconhecidos são um mecanismo comum de distribuição de malware modificado. Verifique o nome do programador e leia as avaliações dos utilizadores antes de instalar qualquer coisa, mesmo que a aplicação pareça familiar.

Mantenha o sistema operativo do seu dispositivo e todas as aplicações instaladas atualizados, uma vez que as atualizações incluem frequentemente correções de segurança importantes. Evite clicar em links suspeitos enviados por SMS, aplicações de mensagens ou e-mail. A instalação de software de segurança fiável, como o Combo Cleaner, permite detetar e bloquear aplicações maliciosas antes que causem danos.

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador no Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador no Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como iniciar o dispositivo Android no “Modo de segurança”?
• Como verificar o consumo de bateria de várias aplicações?
• Como verificar a utilização de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema no seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Histórico” no menu pendente aberto.

Toque em “Limpar dados de navegação”, selecione o separador “AVANÇADAS”, escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em “Limpar dados”.

[Voltar ao menu]

Desativar as notificações do navegador no Chrome:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Definições” no menu pendente aberto.

Desloque-se para baixo até ver a opção “Definições de sites” e toque na mesma. Desloque-se para baixo até ver a opção “Notificações” e toque na mesma.

Encontre os sites que apresentam notificações do navegador, toque nos mesmos e clique em “Limpar e repor”. Isto irá remover as permissões concedidas a estes sites para apresentar notificações. No entanto, quando voltar a visitar o mesmo site, este poderá pedir novamente permissão. Pode escolher se pretende conceder estas permissões ou não (se optar por recusar, o site passará para a secção “Bloqueado” e deixará de lhe pedir permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque na opção.

Desloque-se para baixo até encontrar a aplicação “Chrome”, selecione-a e toque na opção “Armazenamento”.

Toque em “GERIR ARMAZENAMENTO”, depois em “LIMPAR TODOS OS DADOS” e confirme a ação tocando em “OK”. Tenha em atenção que repor o navegador irá eliminar todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Histórico” no menu pendente aberto.

Desloque-se para baixo até ver “Limpar dados privados” e toque na opção. Selecione os tipos de dados que pretende remover e toque em “LIMPAR DADOS”.

[Voltar ao menu]

Desativar as notificações do navegador no Firefox:

Visite o site que apresenta notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um “Cadeado”) e selecione “Editar definições do site”.

Na janela pop-up aberta, assinale a opção “Notificações” e toque em “LIMPAR”.

[Voltar ao menu]

Repor o navegador Firefox:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque na opção.

Desloque-se para baixo até encontrar a aplicação “Firefox”, selecione-a e toque na opção “Armazenamento”.

Toque em “LIMPAR DADOS” e confirme a ação tocando em “ELIMINAR”. Tenha em atenção que repor o navegador irá eliminar todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque na opção.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em “Desinstalar”. Se, por algum motivo, não conseguir remover a aplicação selecionada (por exemplo, se for apresentada uma mensagem de erro), deve tentar utilizar o “Modo de segurança”.

[Voltar ao menu]

Iniciar o dispositivo Android no “Modo de segurança”:

O “Modo de segurança” do sistema operativo Android impede temporariamente a execução de todas as aplicações de terceiros. A utilização deste modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar “normalmente”).

Prima o botão “Ligar/Desligar” e mantenha-o premido até ver o ecrã “Desligar”. Toque no ícone “Desligar” e mantenha-o premido. Após alguns segundos, será apresentada a opção “Modo de segurança” e poderá executá-lo reiniciando o dispositivo.

[Voltar ao menu]

Verificar o consumo de bateria de várias aplicações:

Aceda a “Definições”, desloque-se para baixo até ver “Manutenção do dispositivo” e toque na opção.

Toque em “Bateria” e verifique o consumo de cada aplicação. As aplicações legítimas/genuínas são concebidas para consumir o mínimo de energia possível, de modo a proporcionar a melhor experiência ao utilizador e a poupar energia. Por conseguinte, um consumo elevado de bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar a utilização de dados de várias aplicações:

Aceda a “Definições”, desloque-se para baixo até ver “Ligações” e toque na opção.

Desloque-se para baixo até ver “Utilização de dados” e selecione esta opção. Tal como acontece com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar ao máximo a utilização de dados. Isto significa que uma utilização excessiva de dados pode indicar a presença de uma aplicação maliciosa. Tenha em atenção que algumas aplicações maliciosas podem ser concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por este motivo, deve verificar a utilização de dados móveis e de Wi-Fi.

Se encontrar uma aplicação que utiliza muitos dados, apesar de nunca a utilizar, recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos lançam continuamente várias correções de segurança e atualizações do Android para corrigir erros e falhas que podem ser explorados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Aceda a “Definições”, desloque-se para baixo até ver “Atualização de software” e toque na opção.

Toque em “Transferir atualizações manualmente” e verifique se existem atualizações disponíveis. Em caso afirmativo, instale-as imediatamente. Recomendamos também que ative a opção “Transferir atualizações automaticamente” - esta permitirá que o sistema o notifique quando for lançada uma atualização e/ou que a instale automaticamente.

[Voltar ao menu]

Repor o sistema no seu estado predefinido:

Efetuar uma “Reposição de fábrica” é uma boa forma de remover todas as aplicações indesejadas, repor as definições predefinidas do sistema e limpar o dispositivo em geral. No entanto, deve ter em conta que todos os dados do dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo, não no cartão SIM), mensagens SMS, entre outros. Por outras palavras, o dispositivo será restaurado ao seu estado original.

Também pode restaurar as definições básicas do sistema e/ou apenas as definições de rede.

Aceda a “Definições”, desloque-se para baixo até ver “Acerca do telefone” e toque na opção.

Desloque-se para baixo até ver “Repor” e toque na opção. Agora escolha a ação que pretende executar:
“Repor definições” - repor todas as definições do sistema para as predefinições;
“Repor definições de rede” - repor todas as definições relacionadas com a rede para as predefinições;
“Repor dados de fábrica” - repor todo o sistema e eliminar completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de administrador, pode danificar gravemente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre quais as aplicações que têm esses privilégios e desativar as que não os deveriam ter.

Aceda a “Definições”, desloque-se para baixo até ver “Ecrã de bloqueio e segurança” e toque na opção.

Desloque-se para baixo até ver “Outras definições de segurança”, toque na opção e, em seguida, toque em “Aplicações de administração do dispositivo”.

Identifique as aplicações que não devem ter privilégios de administrador, toque nas mesmas e, em seguida, toque em “DESATIVAR”.

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o malware uCreator RAT. Devo formatar o meu dispositivo de armazenamento para me livrar dele?

A formatação raramente é necessária para remover malware e resultaria na perda permanente de dados. É aconselhável utilizar um software antivírus móvel fiável, como o Combo Cleaner, para analisar e remover o uCreator RAT, o que deverá ser suficiente na maioria dos casos.

Quais são os maiores problemas que o malware uCreator RAT pode causar?

O uCreator RAT pode assumir o controlo total de contas do Telegram e do WeChat, incluindo contornar a autenticação de dois fatores para bloquear o acesso do proprietário legítimo. Pode extrair históricos de mensagens completos, recolher listas de contactos e capturar credenciais de início de sessão de aplicações financeiras como o GCash.

Estas capacidades podem resultar em roubo de identidade, fraude financeira e perda permanente do acesso às contas afetadas. Como a plataforma é vendida a vários operadores, um dispositivo comprometido pode ser visado por mais do que um agente ao mesmo tempo.

Qual é o objetivo do malware uCreator RAT?

A maioria dos ataques de malware é motivada pelo lucro financeiro, e o uCreator RAT não é exceção. É vendido como plataforma comercial a operadores que o utilizam para fraude de contas, roubo financeiro e recolha de contactos em grande escala. A infraestrutura da plataforma sugere ainda que pode ser utilizada para a vigilância direcionada de indivíduos específicos.

Como é que o malware uCreator RAT se infiltrou no meu dispositivo Android?

O uCreator RAT é distribuído através de versões reempacotadas de aplicações legítimas, como o Telegram e o WeChat. As vítimas são normalmente instruídas a instalar um ficheiro APK modificado fora da loja de aplicações oficial, muitas vezes através de links de phishing ou de engenharia social em plataformas de mensagens. As aplicações reempacotadas têm um aspeto idêntico ao dos originais, o que as torna difíceis de identificar.

O Combo Cleaner irá proteger-me contra malware?

O Combo Cleaner é capaz de detetar e eliminar a grande maioria das infeções de malware conhecidas, incluindo trojans de acesso remoto. É essencial efetuar uma análise completa do sistema, uma vez que ameaças sofisticadas como o uCreator RAT são concebidas para se instalarem profundamente no sistema.