Hoe verwijdert u de uCreator remote access trojan van Android?

Wat voor soort malware is uCreator RAT?

uCreator RAT (door de ontwikkelaar verkocht onder de naam YingGai) is een geavanceerd Android-spywareplatform en een trojan voor externe toegang. Het maakt gebruik van app-virtualisatie om legitieme berichten- en betaalapplicaties op geïnfecteerde apparaten ongemerkt te instrumenteren. Volgens onderzoek gepubliceerd door 0x0v1 richt het zich op gebruikers van WeChat, Telegram, GCash en meer dan een dozijn andere berichten- en financiële apps.

Overzicht van uCreator RAT-malware

uCreator RAT is geen traditionele, op zichzelf staande kwaadaardige applicatie. Het is een commercieel surveillanceplatform dat wordt verkocht onder de naam YingGai en is opgebouwd rond het concept van "massale controle". Het platform combineert een engine voor app-virtualisatie, hookmodules per doelwit, een cloudgebaseerde besturingsinfrastructuur en een Windows-operatorconsole waarmee gecompromitteerde apparaten worden beheerd.

Het platform verkrijgt toegang tot legitieme apps met behulp van tools zoals LSPatch en Pine, die zijn gebouwd op het Xposed-hookingframework. Deze tools laden de code van de doelapp in een gecontroleerd proces zonder dat root-toegang tot het apparaat nodig is. De doelapp lijkt normaal te werken, terwijl de malware onzichtbaar binnen de eigen procesruimte van die app draait.

uCreator RAT is ontworpen om berichten- en financiële apps aan te vallen die populair zijn in China en Zuidoost-Azië. Bevestigde doelwitten zijn onder meer WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo en GCash. Bewijsmateriaal dat is aangetroffen op een C2-server wijst erop dat slachtoffers zich in China en de Verenigde Staten bevonden.

De Telegram-module is het meest ingrijpende onderdeel dat is ontdekt. In plaats van databasebestanden van het apparaat te kopiëren, voert deze module live SQL-query's uit op de eigen actieve interne SQLite-database van Telegram, waarbij de berichtgeschiedenis wordt uitgelezen met de eigen machtigingen en handles van de app.

Dezelfde module haakt ook in op de routine voor tweefactorauthenticatie van Telegram om het accountwachtwoord in platte tekst te onderscheppen, nog voordat het wordt gehasht of verzonden. Met dat wachtwoord kan een operator actieve sessies opsommen en vertrouwde apparaten uit de lijst met geautoriseerde apparaten verwijderen.

Het platform bevat ook speciale code om de rechtmatige eigenaar volledig buiten te sluiten van zijn eigen account. Deze functie voor het blokkeren van accounts is een bewuste, benoemde functie en geen toevallig neveneffect. In het ergste geval kan een aanvaller de volledige controle over een Telegram-account overnemen en voorkomen dat het slachtoffer het account herstelt.

Elke gehookte applicatie stelt een lokale HTTP-opdrachtserver beschikbaar met ongeveer 40 genummerde handlers. Deze omvatten het ophalen van contacten, het verzamelen van sms-berichten, databasequery's, het verzenden van berichten en het manipuleren van sessies. Opdrachten komen binnen via een Redis-berichtenbus en worden uitgevoerd binnen het proces van de doelapp, met de eigen identiteit en machtigingen van het doelwit.

Naast berichtenapps bevat het platform een functie voor het vervalsen van camerabeelden, bedoeld om know-your-customer (KYC)-livenesscontroles van financiële dienstverleners te omzeilen. De WeChat-module richt zich op het klonen van accounts: het verzamelen van inloggegevens en contactlijsten, waarna volledige accountgegevens worden geback-upt naar de cloudopslag van de operator.

Een gelekte GitLab-instantie heeft de volledige backend-broncode van het platform blootgelegd, inclusief een multi-tenant operatorconsole die wordt verhuurd aan klanten verderop in de keten. Uit de commitgeschiedenis bleken ongeveer drie dozijn ontwikkelaars in Changsha, China, betrokken te zijn, met commits tot zo recent als de herfst van 2026. De infrastructuur ondersteunt meerdere operators tegelijk, die elk hun eigen vloot van slachtofferapparaten aanvallen.

Opgemerkt moet worden dat malwareontwikkelaars hun software en methoden vaak verbeteren. Toekomstige versies van uCreator RAT zouden de lijst met doelapplicaties kunnen uitbreiden of extra mogelijkheden kunnen introduceren. Samengevat kan de aanwezigheid van software zoals uCreator RAT op een apparaat leiden tot accountovername, ernstige privacyschendingen, financiële verliezen en identiteitsdiefstal.

Voorbeelden van remote access trojans

uCreator RAT onderscheidt zich van andere Android-dreigingen door het gebruik van app-virtualisatie op het apparaat. Deze aanpak maakt het voor beveiligingstools bijzonder moeilijk om de malware te detecteren, omdat deze binnen het proces van een legitieme app werkt in plaats van als een op zichzelf staande verdachte applicatie.

Andere voorbeelden van remote access trojans die zich op Android richten, zijn RatHat, Night Dragon en Flying Eagle. Dit type malware wordt vaak gebruikt om persoonlijke gegevens te stelen, financiële fraude te plegen en slachtoffers zonder hun medeweten te bespioneren.

Ongeacht de specifieke dreiging ontwikkelen cybercriminelen voortdurend nieuwe tools om mobiele gebruikers aan te vallen. Voorzichtig zijn met de bronnen waaruit u apps installeert en beveiligingssoftware actief houden, zijn de meest betrouwbare verdedigingsmiddelen voor gewone gebruikers.

Hoe is uCreator RAT op mijn apparaat terechtgekomen?

uCreator RAT bereikt apparaten via opnieuw verpakte kopieën van legitieme applicaties. Onderzoekers vonden aangepaste Telegram-builds die werden verspreid via sideloading, waarbij gebruikers worden aangespoord om APK-bestanden handmatig te installeren buiten de officiële Google Play Store. Een speciaal verspreidingsdomein bood deze aangepaste APK's aan, hoewel het inmiddels offline is gehaald.

Het platform wordt ook verspreid via een container-app genaamd Onion Box, die doelapps host binnen de virtualisatieomgeving. Slachtoffers worden doorgaans benaderd via social engineering, waarschijnlijk via berichtenplatforms of phishing-links. Omdat opnieuw verpakte apps er precies hetzelfde uitzien en zich hetzelfde gedragen als de originelen, hebben de meeste gebruikers geen enkele aanwijzing dat er iets mis is.

Hoe voorkomt u de installatie van malware?

De veiligste manier om dit type dreiging te voorkomen, is apps uitsluitend te downloaden uit de officiële Google Play Store. App-bestanden die worden gedeeld via berichtenapps, sociale media of onbekende websites zijn een veelgebruikt verspreidingsmechanisme voor aangepaste malware. Controleer de naam van de ontwikkelaar en lees gebruikersrecensies voordat u iets installeert, zelfs als de app bekend lijkt.

Houd het besturingssysteem van uw apparaat en alle geïnstalleerde apps up-to-date, aangezien updates vaak belangrijke beveiligingspatches bevatten. Klik niet op verdachte links die via sms, berichtenapps of e-mail worden verzonden. Door betrouwbare beveiligingssoftware zoals Combo Cleaner te installeren, kunnen kwaadaardige applicaties worden gedetecteerd en geblokkeerd voordat ze schade aanrichten.

Snelmenu:

• Inleiding
• Hoe verwijdert u de browsegeschiedenis uit de Chrome-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Chrome-webbrowser?
• Hoe reset u de Chrome-webbrowser?
• Hoe verwijdert u de browsegeschiedenis uit de Firefox-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Firefox-webbrowser?
• Hoe reset u de Firefox-webbrowser?
• Hoe verwijdert u potentieel ongewenste en/of kwaadaardige applicaties?
• Hoe start u het Android-apparaat op in "Veilige modus"?
• Hoe controleert u het batterijverbruik van verschillende applicaties?
• Hoe controleert u het dataverbruik van verschillende applicaties?
• Hoe installeert u de nieuwste software-updates?
• Hoe zet u het systeem terug naar de standaardinstellingen?
• Hoe schakelt u applicaties met beheerdersrechten uit?

Verwijder de browsegeschiedenis uit de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Tik op "Browsegegevens wissen", selecteer het tabblad "GEAVANCEERD", kies het tijdsbereik en de gegevenstypen die u wilt verwijderen en tik op "Gegevens wissen".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Instellingen" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u de optie "Site-instellingen" ziet en tik erop. Scrol omlaag tot u de optie "Meldingen" ziet en tik erop.

Zoek de websites die browsermeldingen weergeven, tik erop en klik op "Wissen en resetten". Hiermee worden de machtigingen verwijderd die aan deze websites zijn verleend om meldingen weer te geven. Wanneer u dezelfde site echter opnieuw bezoekt, kan deze opnieuw om toestemming vragen. U kunt zelf kiezen of u deze machtigingen verleent of niet (als u weigert, wordt de website verplaatst naar het gedeelte "Geblokkeerd" en wordt u niet meer om toestemming gevraagd).

[Terug naar de inhoudsopgave]

Reset de Chrome-webbrowser:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Chrome" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "OPSLAG BEHEREN", vervolgens op "ALLE GEGEVENS WISSEN" en bevestig de actie door op "OK" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens verwijdert. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, aangepaste instellingen en andere gegevens worden verwijderd. U moet zich ook opnieuw aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Verwijder de browsegeschiedenis uit de Firefox-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u "Privégegevens wissen" ziet en tik erop. Selecteer de gegevenstypen die u wilt verwijderen en tik op "GEGEVENS WISSEN".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Firefox-webbrowser:

Bezoek de website die browsermeldingen weergeeft, tik op het pictogram links van de adresbalk (het pictogram is niet per se een "Slot") en selecteer "Site-instellingen bewerken".

Vink in het geopende pop-upvenster de optie "Meldingen" aan en tik op "WISSEN".

[Terug naar de inhoudsopgave]

Reset de Firefox-webbrowser:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Firefox" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "GEGEVENS WISSEN" en bevestig de actie door op "VERWIJDEREN" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens verwijdert. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, aangepaste instellingen en andere gegevens worden verwijderd. U moet zich ook opnieuw aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Verwijder potentieel ongewenste en/of kwaadaardige applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u een potentieel ongewenste en/of kwaadaardige applicatie ziet, selecteer deze en tik op "Verwijderen". Als u de geselecteerde app om de een of andere reden niet kunt verwijderen (u krijgt bijvoorbeeld een foutmelding), probeer dan de "Veilige modus" te gebruiken.

[Terug naar de inhoudsopgave]

Start het Android-apparaat op in "Veilige modus":

De "Veilige modus" in het Android-besturingssysteem voorkomt tijdelijk dat applicaties van derden worden uitgevoerd. Het gebruik van deze modus is een goede manier om diverse problemen te diagnosticeren en op te lossen (bijvoorbeeld het verwijderen van kwaadaardige applicaties die gebruikers verhinderen dit te doen wanneer het apparaat "normaal" draait).

Druk op de knop "Aan/uit" en houd deze ingedrukt tot u het scherm "Uitschakelen" ziet. Tik op het pictogram "Uitschakelen" en houd het vast. Na enkele seconden verschijnt de optie "Veilige modus" en kunt u deze starten door het apparaat opnieuw op te starten.

[Terug naar de inhoudsopgave]

Controleer het batterijverbruik van verschillende applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Apparaatonderhoud" ziet en tik erop.

Tik op "Batterij" en controleer het verbruik van elke applicatie. Legitieme/echte applicaties zijn ontworpen om zo weinig mogelijk energie te verbruiken, zodat ze de beste gebruikerservaring bieden en stroom besparen. Een hoog batterijverbruik kan er daarom op wijzen dat de applicatie kwaadaardig is.

[Terug naar de inhoudsopgave]

Controleer het dataverbruik van verschillende applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Verbindingen" ziet en tik erop.

Scrol omlaag tot u "Dataverbruik" ziet en selecteer deze optie. Net als bij de batterij zijn legitieme/echte applicaties ontworpen om het dataverbruik zoveel mogelijk te beperken. Dit betekent dat een enorm dataverbruik kan wijzen op de aanwezigheid van een kwaadaardige applicatie. Houd er rekening mee dat sommige kwaadaardige applicaties zo ontworpen kunnen zijn dat ze alleen actief zijn wanneer het apparaat met een draadloos netwerk is verbonden. Controleer daarom zowel het mobiele als het wifi-dataverbruik.

Als u een applicatie vindt die veel data verbruikt terwijl u deze nooit gebruikt, raden wij u ten zeerste aan deze zo snel mogelijk te verwijderen.

[Terug naar de inhoudsopgave]

Installeer de nieuwste software-updates:

Software up-to-date houden is een goede gewoonte als het gaat om de veiligheid van uw apparaat. Fabrikanten van apparaten brengen voortdurend diverse beveiligingspatches en Android-updates uit om fouten en bugs te verhelpen die door cybercriminelen kunnen worden misbruikt. Een verouderd systeem is veel kwetsbaarder. Zorg er daarom altijd voor dat de software van uw apparaat up-to-date is.

Ga naar "Instellingen", scrol omlaag tot u "Software-update" ziet en tik erop.

Tik op "Updates handmatig downloaden" en controleer of er updates beschikbaar zijn. Zo ja, installeer ze dan onmiddellijk. We raden ook aan de optie "Updates automatisch downloaden" in te schakelen - hiermee kan het systeem u op de hoogte stellen zodra er een update is uitgebracht en/of deze automatisch installeren.

[Terug naar de inhoudsopgave]

Zet het systeem terug naar de standaardinstellingen:

Het uitvoeren van een "Fabrieksreset" is een goede manier om alle ongewenste applicaties te verwijderen, de systeeminstellingen terug te zetten naar de standaardwaarden en het apparaat in het algemeen op te schonen. Houd er echter rekening mee dat alle gegevens op het apparaat worden verwijderd, inclusief foto's, video-/audiobestanden, telefoonnummers (opgeslagen op het apparaat, niet op de simkaart), sms-berichten, enzovoort. Met andere woorden, het apparaat wordt teruggezet naar de oorspronkelijke staat.

U kunt ook alleen de basissysteeminstellingen en/of de netwerkinstellingen herstellen.

Ga naar "Instellingen", scrol omlaag tot u "Over de telefoon" ziet en tik erop.

Scrol omlaag tot u "Resetten" ziet en tik erop. Kies nu de actie die u wilt uitvoeren:
"Instellingen resetten" - alle systeeminstellingen terugzetten naar de standaardwaarden;
"Netwerkinstellingen resetten" - alle netwerkgerelateerde instellingen terugzetten naar de standaardwaarden;
"Fabrieksgegevens herstellen" - het volledige systeem resetten en alle opgeslagen gegevens volledig verwijderen;

[Terug naar de inhoudsopgave]

Schakel applicaties met beheerdersrechten uit:

Als een kwaadaardige applicatie beheerdersrechten verkrijgt, kan deze het systeem ernstig beschadigen. Om het apparaat zo veilig mogelijk te houden, moet u altijd controleren welke apps dergelijke rechten hebben en de apps uitschakelen die deze rechten niet zouden moeten hebben.

Ga naar "Instellingen", scrol omlaag tot u "Vergrendelscherm en beveiliging" ziet en tik erop.

Scrol omlaag tot u "Andere beveiligingsinstellingen" ziet, tik erop en tik vervolgens op "Apparaatbeheerder-apps".

Identificeer applicaties die geen beheerdersrechten zouden moeten hebben, tik erop en tik vervolgens op "DEACTIVEREN".

Veelgestelde vragen (FAQ)

Mijn Android-apparaat is geïnfecteerd met uCreator RAT-malware. Moet ik mijn opslagapparaat formatteren om ervan af te komen?

Formatteren is zelden nodig om malware te verwijderen en zou leiden tot permanent gegevensverlies. Het is raadzaam om betrouwbare mobiele antivirussoftware zoals Combo Cleaner te gebruiken om uCreator RAT op te sporen en te verwijderen, wat in de meeste gevallen voldoende zou moeten zijn.

Wat zijn de grootste problemen die uCreator RAT-malware kan veroorzaken?

uCreator RAT kan Telegram- en WeChat-accounts volledig overnemen, onder meer door tweefactorauthenticatie te omzeilen om de rechtmatige eigenaar buiten te sluiten. De malware kan volledige berichtgeschiedenissen uitlezen, contactlijsten verzamelen en inloggegevens voor financiële apps zoals GCash onderscheppen.

Deze mogelijkheden kunnen leiden tot identiteitsdiefstal, financiële fraude en permanent verlies van toegang tot de getroffen accounts. Omdat het platform aan meerdere operators wordt verkocht, kan een gecompromitteerd apparaat tegelijkertijd door meer dan één actor worden aangevallen.

Wat is het doel van uCreator RAT-malware?

De meeste malware-aanvallen worden gedreven door financieel gewin, en uCreator RAT is daarop geen uitzondering. Het wordt als commercieel platform verkocht aan operators die het op grote schaal gebruiken voor accountfraude, financiële diefstal en het verzamelen van contacten. De infrastructuur van het platform doet ook vermoeden dat het kan worden ingezet voor gerichte surveillance van specifieke personen.

Hoe is uCreator RAT-malware op mijn Android-apparaat terechtgekomen?

uCreator RAT wordt verspreid via opnieuw verpakte versies van legitieme apps zoals Telegram en WeChat. Slachtoffers worden doorgaans aangespoord om een aangepast APK-bestand te installeren buiten de officiële app store, vaak via phishing-links of social engineering via berichtenplatforms. De opnieuw verpakte apps zien er precies hetzelfde uit als de originelen, waardoor ze moeilijk te herkennen zijn.

Beschermt Combo Cleaner mij tegen malware?

Combo Cleaner kan de overgrote meerderheid van bekende malware-infecties detecteren en verwijderen, inclusief remote access trojans. Het uitvoeren van een volledige systeemscan is essentieel, aangezien geavanceerde dreigingen zoals uCreator RAT zijn ontworpen om zich diep in het systeem te nestelen.