El spyware Android uCreator ha convertido la virtualización en su escondite. La plataforma, descrita en el recopilatorio de malware de Security Affairs, está diseñada para capturar sesiones de WeChat, Telegram y otras aplicaciones de mensajería sin necesidad de root ni de permisos llamativos.
Le adelanto algo antes de entrar en materia: lo que se sabe de uCreator es poco y lo que se intuye es mucho. Un spyware que vive dentro de un contenedor virtual no es una variante más del montón. Es un cambio de arquitectura, y eso siempre obliga a reescribir las reglas de la contrainteligencia móvil.
La virtualización aplicada a Android consiste en levantar una instancia controlada dentro del propio dispositivo, ajena al sistema operativo anfitrión. El atacante no necesita secuestrar el teléfono entero: le basta con montar un entorno paralelo donde las aplicaciones objetivo crean estar hablando con el usuario legítimo. La captura se produce sin artefactos visibles en el sistema de archivos y el rastro forense se reduce a migajas.
uCreator: la virtualización como escondite y el rastro que deja
En la práctica, la plataforma se coloca entre la aplicación de mensajería y el sistema. Todo lo que WeChat o Telegram escriben en pantalla pasa por ese filtro. El spyware no lee el teclado, lee la sesión ya descifrada, que es una forma mucho más limpia de robar contenido y bastante más difícil de detectar por las herramientas convencionales.
Ahí está la diferencia con el spyware clásico de 2015. Pegasus o Predator necesitan una cadena de exploits y un proceso de infección complejo. uCreator, si funciona como lo describen, reduce el coste del ataque: entra una vez, se queda dentro de su caja y desde ahí observa. Para el analista, el problema es que el artefacto sospechoso aparece en el inventario como una aplicación normal, con su icono, su certificado y su actividad de red aparentemente legítima.
Un spyware que se esconde en una máquina virtual dentro del móvil no necesita root: necesita que usted siga usando la misma aplicación de siempre.
Eso sí, conviene no exagerar. La nota pública es escueta y no detalla el vector de instalación ni el dominio de atribución. Quien le diga a usted que uCreator pertenece a un grupo concreto está vendiendo humo, y en este oficio el humo se paga caro.
Lazarus, en cambio, tiene historial. El grupo, atribuido por Estados Unidos al Reconnaissance General Bureau norcoreano, lleva una década mezclando espionaje, sabotaje y robo de divisas. Su rastro aparece en Bangladesh Bank, en WannaCry y en Sony Pictures, por citar tres golpes con expediente técnico cruzado y no solo con comunicados oficiales.
La campaña FlashHole, recogida en el mismo boletín, apunta a lo mismo por otra vía: romper los controles de seguridad del endpoint, no tanto con un zero-day como con oficio. Los detalles públicos son limitados, pero la técnica encaja con el patrón habitual del grupo: binarios firmados, abuso de confianza y persistencia silenciosa.
FlashHole: cómo Lazarus rompe un control sin disparar un zero-day
La etiqueta con la que se resume FlashHole en el recopilatorio de Security Affairs, esa que habla de ‘breaks security’ y de desafiar el control, describe una familia de comportamientos muy reconocible. El atacante no entra por la puerta principal: se disfraza de proveedor, firma un ejecutable con un certificado robado y deja que sea el propio sistema el que le abra el paso. Es la vieja técnica del living off the land, aplicada a la cadena de suministro.
Ahí está el negocio.
Sostengo desde hace años que la defensa perimetral dejó de ser un muro para convertirse en un colador con buena iluminación. Lo escribí en El quinto elemento y lo repito ahora: el próximo 11S empezará con un clic. FlashHole es exactamente eso. Un usuario con privilegios, una actualización legítima, una firma que el EDR valida como buena. Y dentro, la carga útil esperando el momento.
Hay un detalle que me interesa especialmente como analista. Los grupos norcoreanos han entendido que Telegram es a la vez canal de mando y control y superficie de captura. La aplicación presume de cifrado, sí, pero el cifrado protege el tránsito, no el extremo. La sesión descifrada en el móvil de la víctima es el punto débil de toda la cadena, y ahí es donde uCreator trabaja.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con componente HUMINT en la fase de entrega. El patrón combina ingeniería social para colocar la aplicación o el binario, ejecución local mediante virtualización en el caso de uCreator y evasión de controles en el caso de FlashHole. No es un ataque de fuerza bruta; es una operación de paciencia, con reconocimiento previo del objetivo y una ventana de explotación larga.
Agencias implicadas: en el ataque, Lazarus, vinculado al Reconnaissance General Bureau norcoreano. En la defensa, los equipos de seguridad de Android y Google, los operadores de WeChat y Telegram, el CCN-CERT y el INCIBE en el caso español, además de los fabricantes de EDR. En el tercer círculo, los servicios que observan el patrón para copiarlo o contenerlo: NSA y CISA, el GCHQ británico, el BND alemán y, con interés evidente, el FSB ruso y el MSS chino, que llevan años perfeccionando el espionaje móvil contra disidentes y periodistas.
Nivel de clasificación estimado: Reservado en su fase de detección y Confidencial en la explotación práctica. A juzgar por la naturaleza del material que se mueve en conversaciones de mensajería, un compromiso sostenido de WeChat o Telegram puede escalar a Secreto con facilidad: no hablamos de fotos, hablamos de contactos, ubicaciones, documentos y metadatos de inteligencia. El precedente más claro sigue siendo el asalto al Banco Central de Bangladés en 2016, donde Lazarus intentó mover 951 millones de dólares y se llevó 81. Allí se demostró que el grupo no distingue entre espionaje y lucro.
Mi posición es clara y la mantengo: la atribución pública a Corea del Norte está bien fundada en el caso Lazarus, pero se usa como comodín para todo lo que huele a Asia oriental, y eso es un error de método. La atribución técnica exige dos fuentes independientes, no un comunicado. En uCreator no las hay todavía. Reconozco la incertidumbre y prefiero decirla antes que vender una certeza falsa.
Lo que el CNI y el CCN-CERT vigilan de este patrón
En España, el patrón interesa por tres frentes. El primero, la empresa. Cualquier compañía con plantilla que use Telegram como canal de trabajo informal tiene una superficie de captura que nadie ha inventariado. El segundo, el periodista y el activista, objetivos tradicionales de este tipo de spyware y usuarios intensivos de mensajería cifrada. El tercero, la administración, donde el móvil corporativo convive con el personal en el mismo dispositivo.
El CCN-CERT lleva tiempo insistiendo en la gestión de dispositivos y en la verificación de aplicaciones fuera de tienda. No es una advertencia de manual: es la única barrera real cuando el atacante no necesita root. La instalación de perfiles de gestión, la revisión de certificados y la prohibición de instalar APK de origen desconocido en equipos con acceso a información clasificada dejan de ser burocracia y pasan a ser contrainteligencia básica.
Nadie firma estos ataques. El rastro llega meses después, cuando el daño ya está hecho y el agente norcoreano ha cambiado de infraestructura. Por eso lo relevante no es la campaña de esta semana, sino la arquitectura: virtualización, firma legítima, sesión descifrada. Tres piezas que van a sobrevivir al próximo cambio de moda.
Lo veremos en los próximos informes de amenazas del CCN-CERT y en la siguiente actualización del catálogo de referencia del INCIBE. Si uCreator aparece allí con nombre y apellidos técnicos, habrá dejado de ser una nota de boletín para convertirse en doctrina. Y entonces, se lo aseguro, ya no hablaremos de spyware: hablaremos de infraestructura comprometida.
