Исследователь Ovi разобрал uCreator, коммерческую платформу Android-шпионажа: её модули внедряются в работающие мессенджеры и получают доступ к данным уже вошедшего пользователя. В отчёте от 21 октября описана функция перехвата пароля двухэтапной проверки Telegram. Это возможности исследованного кода; число пострадавших автор не установил.

Один из путей заражения — изменённые сборки Telegram и других приложений, устанавливаемые со сторонних источников. Для WeChat найден и другой вариант: настоящий мессенджер запускается внутри подконтрольного контейнера. Получать права администратора Android для такого вмешательства не обязательно. Часть шпионских модулей загружается после установки, поэтому проверка одного установочного файла не раскрывает всех возможностей.

Внедрённый модуль обращается к данным через функции самого приложения. Поэтому защита файлов на диске не закрывает доступ к информации, которую уже может прочитать работающий мессенджер. В коде Telegram-модуля исследователь обнаружил также операции управления сеансами; наличие функций не доказывает успешного захвата каждого аккаунта.

Отчёт описывает многолетнюю платформу, а не новую волну заражений 26 октября. Масштаб её реального использования и личности операторов отдельных атак остаются неизвестными.