Հետազոտողի խոսքով՝ uCreator-ը կարող է զավթել Telegram-ի և WeChat-ի հաշիվները

WeChat-ի հաշիվների կլոնավորումն ու վարձակալության համակարգը

Օվին պարզել է, որ WeChat-ի դեպքում գործիքակազմը կարող է իր կոնտեյների ներսում աշխատող հավելվածից դուրս բերել մուտքի նույնացուցիչն ու հաշվի տվյալները, ապա դրանց միջոցով կլոնավորել հաշիվը։ Այս բաղադրիչի թիրախը հենց հաշվի կառավարումն է, ոչ թե զրույցների պատմությունը։

Օվին բաց հասանելի դարձած սերվերային կոդն ուսումնասիրելիս նաև հայտնաբերել է առևտրականների և վերավաճառողների համար վարձակալության տրվող կառավարման վահանակ։ Հրամանները պարունակում են հաճախորդի նույնացուցիչը, ինչը յուրաքանչյուր հաճախորդի թույլ է տալիս կառավարել համակարգի վերահսկողության տակ գտնվող հեռախոսների՝ իրեն հատկացված մասը։ Կոդը ներառում է մուտքի թույլտվությունները որսալու, կոնտակտներն ու պրոֆիլները հավաքելու, զանգվածաբար ընկերներ ավելացնելու և հաշիվների պահուստային պատճեններ ստեղծելու գործիքներ։ Բաց հասանելի դարձած սերվերային մասը վերաբերում էր WeChat-ին։ Օվիի խոսքով՝ այն, ըստ երևույթին, չէր ընդգրկում Telegram-ը։

Վերլուծություն

Ինչ են հաստատում փորձարկումները, և ինչ՝ ոչ

Android 17-ով աշխատող հեռախոսում գործիքակազմի՝ հավելվածի գործառույթներին միջամտող մեխանիզմը չի կարողացել գտնել իրեն անհրաժեշտ Android-ի ներքին գործառույթը։ Օվին այդ խափանումը բնութագրել է որպես գործիքակազմի ստեղծողների համար լրացուցիչ աշխատանք, ոչ թե ապացույց, որ Android 17-ն արգելափակում է հարձակումը․ մեկ այլ գործիք նույն հեռախոսում դեռ կարող էր նույն կերպ միջամտել։ Նա ձեռք է բերել Android 16-ի համար պատրաստված նմուշներ, բայց չի հայտնել այդ տարբերակը փորձարկելու մասին և չի փորձարկել չինական արտադրողների հեռախոսներ։

Կառավարման այն սերվերի տվյալները, որին Օվին հասանելիություն էր ստացել, բավարար չէին զոհերի թիվը հուսալիորեն գնահատելու համար։ Նա իր աշխատանքը բնութագրել է որպես հնարավորությունների վերլուծություն, այլ ոչ թե զոհերի վրա ազդեցության չափում։ Ուստի հաշիվների զավթման առկա կոդը չի հաստատում, թե այդ հնարավորությունները որքան հաճախ կամ որքան ամբողջությամբ են կիրառվել։

Օվին կայքերի, սերվերների և ծրագրային ապահովման ստորագրման գրանցումների միջոցով այս գործունեության որոշ հատվածներ կապել է Չինաստանի Հունան նահանգում գործող երեք ընկերության հետ։ Նրա խոսքով՝ ընդհանուր սեփականատեր ունենալը հավանական է, բայց ապացուցված չէ։ Չպարզված է մնում նաև՝ Baohuo-ի արշավն իրականացրել են գործիքակազմի ստեղծողնե՞րը, թե՞ նրանց հաճախորդներից մեկը։ Կոդի փոփոխությունների պատմությունը ցույց է տվել, որ մշակողները դեռ փոփոխություններ էին կատարում 2026-ի հոկտեմբերին։