Cómo eliminar el troyano de acceso remoto uCreator de Android

¿Qué tipo de malware es uCreator RAT?

uCreator RAT (comercializado por su desarrollador con el nombre YingGai) es una sofisticada plataforma de spyware para Android y un troyano de acceso remoto. Utiliza la virtualización de aplicaciones para instrumentar de forma silenciosa aplicaciones legítimas de mensajería y de pago en los dispositivos infectados. Según una investigación publicada por 0x0v1, se dirige a usuarios de WeChat, Telegram, GCash y más de una docena de otras aplicaciones de mensajería y financieras.

Descripción general del malware uCreator RAT

uCreator RAT no es una aplicación maliciosa independiente tradicional. Se trata de una plataforma de vigilancia comercial que se vende con el nombre de YingGai, construida en torno al concepto de «control masivo». La plataforma combina un motor de virtualización de aplicaciones, módulos de enganche específicos para cada objetivo, una infraestructura de control basada en la nube y una consola de operador para Windows que se utiliza para gestionar los dispositivos comprometidos.

La plataforma obtiene acceso a aplicaciones legítimas mediante herramientas como LSPatch y Pine, desarrolladas sobre el framework de enganche Xposed. Estas herramientas cargan el código de la aplicación objetivo dentro de un proceso controlado sin necesidad de acceso root al dispositivo. La aplicación objetivo parece funcionar con normalidad mientras el malware se ejecuta de forma invisible dentro de su propio espacio de proceso.

uCreator RAT está diseñado para atacar aplicaciones de mensajería y financieras populares en China y el sudeste asiático. Entre los objetivos confirmados se encuentran WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo y GCash. Las pruebas recuperadas de un servidor C2 indican que se han localizado víctimas en China y Estados Unidos.

El módulo de Telegram es el componente más invasivo descubierto. En lugar de copiar archivos de bases de datos del dispositivo, ejecuta consultas SQL en tiempo real contra la propia base de datos interna activa SQLite de Telegram, leyendo el historial de mensajes con los propios permisos y manejadores de la aplicación.

El mismo módulo también se engancha a la rutina de autenticación de dos factores de Telegram para capturar la contraseña de la cuenta en texto plano, antes de que se aplique un hash o se transmita. Con esa contraseña, un operador puede enumerar las sesiones activas y eliminar dispositivos de confianza de la lista de autorizados.

La plataforma también incluye código específico para impedir por completo que el propietario legítimo acceda a su propia cuenta. Esta capacidad de bloqueo de cuentas es una función intencionada y con nombre propio, no un efecto secundario accidental. En el peor de los casos, un atacante podría tomar el control total de una cuenta de Telegram e impedir que la víctima la recupere.

Cada aplicación enganchada expone un servidor de comandos HTTP local con aproximadamente 40 manejadores numerados. Estos abarcan la obtención de contactos, la recopilación de SMS, consultas a bases de datos, el envío de mensajes y la manipulación de sesiones. Los comandos llegan a través de un bus de mensajes Redis y se ejecutan dentro del proceso de la aplicación objetivo con la propia identidad y los permisos de esta.

Además de las aplicaciones de mensajería, la plataforma incluye una capacidad de suplantación de cámara destinada a burlar las comprobaciones de prueba de vida de conocimiento del cliente (KYC) que utilizan los servicios financieros. El módulo de WeChat se centra en la clonación de cuentas: recopila credenciales de inicio de sesión y listas de contactos, y luego realiza una copia de seguridad completa de los datos de la cuenta en el almacenamiento en la nube del operador.

Una instancia de GitLab filtrada expuso el código fuente completo del backend de la plataforma, incluida una consola de operador multiinquilino alquilada por clientes intermedios. El historial de commits identificó a unas tres docenas de desarrolladores en Changsha (China), con commits realizados tan recientemente como en otoño de 2026. La infraestructura admite varios operadores simultáneamente, cada uno de los cuales ataca su propia flota de dispositivos de víctimas.

Cabe mencionar que los desarrolladores de malware suelen mejorar su software y sus métodos. Las futuras versiones de uCreator RAT podrían ampliar su lista de aplicaciones objetivo o introducir capacidades adicionales. En resumen, la presencia de software como uCreator RAT en un dispositivo puede provocar la toma de control de cuentas, graves violaciones de la privacidad, pérdidas económicas y robo de identidad.

Ejemplos de troyanos de acceso remoto

uCreator RAT destaca entre las amenazas para Android por su uso de la virtualización de aplicaciones en el propio dispositivo. Este enfoque hace que sea especialmente difícil de detectar para las herramientas de seguridad, ya que el malware opera dentro del proceso de una aplicación legítima en lugar de ejecutarse como una aplicación sospechosa independiente.

Otros ejemplos de troyanos de acceso remoto dirigidos a Android son RatHat, Night Dragon y Flying Eagle. El malware de este tipo se utiliza habitualmente para robar datos personales, cometer fraudes financieros y espiar a las víctimas sin su conocimiento.

Independientemente de la amenaza concreta, los ciberdelincuentes desarrollan continuamente nuevas herramientas para atacar a los usuarios de dispositivos móviles. Ser precavido con el origen de las aplicaciones que instala y mantener activo el software de seguridad son las defensas más fiables de las que disponen los usuarios comunes.

¿Cómo se infiltró uCreator RAT en mi dispositivo?

uCreator RAT llega a los dispositivos a través de copias reempaquetadas de aplicaciones legítimas. Los investigadores encontraron versiones modificadas de Telegram distribuidas mediante sideloading, en el que se indica a los usuarios que instalen archivos APK manualmente fuera de la Google Play Store oficial. Un dominio de distribución dedicado ofrecía estos APK modificados, aunque desde entonces ha sido desactivado.

La plataforma también se distribuye a través de una aplicación contenedora llamada Onion Box, que aloja las aplicaciones objetivo dentro del entorno de virtualización. Normalmente, se contacta a las víctimas mediante ingeniería social, probablemente a través de plataformas de mensajería o enlaces de phishing. Dado que las aplicaciones reempaquetadas tienen el mismo aspecto y comportamiento que las originales, la mayoría de los usuarios no perciben ningún indicio de que algo vaya mal.

¿Cómo evitar la instalación de malware?

La forma más segura de evitar este tipo de amenaza es descargar aplicaciones únicamente desde la Google Play Store oficial. Los archivos de aplicaciones compartidos a través de aplicaciones de mensajería, redes sociales o sitios web desconocidos son un mecanismo de distribución habitual de malware modificado. Compruebe el nombre del desarrollador y lea las reseñas de los usuarios antes de instalar cualquier cosa, incluso si la aplicación le resulta familiar.

Mantenga actualizados el sistema operativo de su dispositivo y todas las aplicaciones instaladas, ya que las actualizaciones suelen incluir parches de seguridad importantes. Evite hacer clic en enlaces sospechosos enviados por SMS, aplicaciones de mensajería o correo electrónico. Instalar un software de seguridad de confianza como Combo Cleaner permite detectar y bloquear aplicaciones maliciosas antes de que causen daños.

Menú rápido:

• Introducción
• ¿Cómo eliminar el historial de navegación del navegador web Chrome?
• ¿Cómo desactivar las notificaciones del navegador en el navegador web Chrome?
• ¿Cómo restablecer el navegador web Chrome?
• ¿Cómo eliminar el historial de navegación del navegador web Firefox?
• ¿Cómo desactivar las notificaciones del navegador en el navegador web Firefox?
• ¿Cómo restablecer el navegador web Firefox?
• ¿Cómo desinstalar aplicaciones potencialmente no deseadas y/o maliciosas?
• ¿Cómo iniciar el dispositivo Android en «Modo seguro»?
• ¿Cómo comprobar el uso de batería de las distintas aplicaciones?
• ¿Cómo comprobar el uso de datos de las distintas aplicaciones?
• ¿Cómo instalar las últimas actualizaciones de software?
• ¿Cómo restablecer el sistema a su estado predeterminado?
• ¿Cómo desactivar las aplicaciones que tienen privilegios de administrador?

Eliminar el historial de navegación del navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Toque «Borrar datos de navegación», seleccione la pestaña «AVANZADO», elija el intervalo de tiempo y los tipos de datos que desea eliminar y toque «Borrar datos».

[Volver al índice]

Desactivar las notificaciones del navegador en el navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Configuración» en el menú desplegable que se abre.

Desplácese hacia abajo hasta ver la opción «Configuración de sitios» y tóquela. Desplácese hacia abajo hasta ver la opción «Notificaciones» y tóquela.

Busque los sitios web que muestran notificaciones del navegador, tóquelos y haga clic en «Borrar y restablecer». Esto eliminará los permisos concedidos a estos sitios web para mostrar notificaciones. Sin embargo, cuando vuelva a visitar el mismo sitio, es posible que le solicite permiso de nuevo. Puede elegir si concede estos permisos o no (si decide rechazarlos, el sitio web pasará a la sección «Bloqueados» y ya no le solicitará el permiso).

[Volver al índice]

Restablecer el navegador web Chrome:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta encontrar la aplicación «Chrome», selecciónela y toque la opción «Almacenamiento».

Toque «ADMINISTRAR ALMACENAMIENTO», luego «BORRAR TODOS LOS DATOS» y confirme la acción tocando «ACEPTAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que se eliminarán todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Eliminar el historial de navegación del navegador web Firefox:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Desplácese hacia abajo hasta ver «Borrar datos privados» y tóquelo. Seleccione los tipos de datos que desea eliminar y toque «BORRAR DATOS».

[Volver al índice]

Desactivar las notificaciones del navegador en el navegador web Firefox:

Visite el sitio web que muestra notificaciones del navegador, toque el icono que aparece a la izquierda de la barra de direcciones (el icono no será necesariamente un «Candado») y seleccione «Editar configuración del sitio».

En la ventana emergente que se abre, marque la opción «Notificaciones» y toque «BORRAR».

[Volver al índice]

Restablecer el navegador web Firefox:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta encontrar la aplicación «Firefox», selecciónela y toque la opción «Almacenamiento».

Toque «BORRAR DATOS» y confirme la acción tocando «ELIMINAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que se eliminarán todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Desinstalar aplicaciones potencialmente no deseadas y/o maliciosas:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta ver una aplicación potencialmente no deseada y/o maliciosa, selecciónela y toque «Desinstalar». Si, por alguna razón, no puede eliminar la aplicación seleccionada (por ejemplo, aparece un mensaje de error), debería intentar utilizar el «Modo seguro».

[Volver al índice]

Iniciar el dispositivo Android en «Modo seguro»:

El «Modo seguro» del sistema operativo Android impide temporalmente que se ejecuten todas las aplicaciones de terceros. Utilizar este modo es una buena manera de diagnosticar y resolver diversos problemas (por ejemplo, eliminar aplicaciones maliciosas que impiden a los usuarios hacerlo cuando el dispositivo funciona «normalmente»).

Pulse el botón de «Encendido» y manténgalo pulsado hasta que vea la pantalla «Apagar». Toque el icono «Apagar» y manténgalo pulsado. Al cabo de unos segundos aparecerá la opción «Modo seguro» y podrá ejecutarlo reiniciando el dispositivo.

[Volver al índice]

Comprobar el uso de batería de las distintas aplicaciones:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Mantenimiento del dispositivo» y tóquelo.

Toque «Batería» y compruebe el uso de cada aplicación. Las aplicaciones legítimas/genuinas están diseñadas para consumir la menor energía posible con el fin de ofrecer la mejor experiencia de usuario y ahorrar batería. Por lo tanto, un uso elevado de batería puede indicar que la aplicación es maliciosa.

[Volver al índice]

Comprobar el uso de datos de las distintas aplicaciones:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Conexiones» y tóquelo.

Desplácese hacia abajo hasta ver «Uso de datos» y seleccione esta opción. Al igual que con la batería, las aplicaciones legítimas/genuinas están diseñadas para minimizar el uso de datos tanto como sea posible. Esto significa que un uso de datos muy elevado puede indicar la presencia de una aplicación maliciosa. Tenga en cuenta que algunas aplicaciones maliciosas pueden estar diseñadas para funcionar únicamente cuando el dispositivo está conectado a una red inalámbrica. Por este motivo, debería comprobar tanto el uso de datos móviles como el de Wi-Fi.

Si encuentra una aplicación que consume muchos datos aunque nunca la utilice, le recomendamos encarecidamente que la desinstale lo antes posible.

[Volver al índice]

Instalar las últimas actualizaciones de software:

Mantener el software actualizado es una buena práctica en lo que respecta a la seguridad del dispositivo. Los fabricantes de dispositivos publican continuamente diversos parches de seguridad y actualizaciones de Android para corregir errores y fallos que los ciberdelincuentes pueden aprovechar. Un sistema desactualizado es mucho más vulnerable, por lo que siempre debe asegurarse de que el software de su dispositivo esté actualizado.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Actualización de software» y tóquelo.

Toque «Descargar actualizaciones manualmente» y compruebe si hay actualizaciones disponibles. Si es así, instálelas inmediatamente. También recomendamos activar la opción «Descargar actualizaciones automáticamente»: permitirá que el sistema le notifique cuando se publique una actualización y/o la instale automáticamente.

[Volver al índice]

Restablecer el sistema a su estado predeterminado:

Realizar un «Restablecimiento de fábrica» es una buena manera de eliminar todas las aplicaciones no deseadas, restaurar la configuración del sistema a sus valores predeterminados y limpiar el dispositivo en general. Sin embargo, debe tener en cuenta que se eliminarán todos los datos del dispositivo, incluidas fotos, archivos de vídeo/audio, números de teléfono (almacenados en el dispositivo, no en la tarjeta SIM), mensajes SMS, etc. En otras palabras, el dispositivo se restaurará a su estado original.

También puede restaurar la configuración básica del sistema y/o simplemente la configuración de red.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Acerca del teléfono» y tóquelo.

Desplácese hacia abajo hasta ver «Restablecer» y tóquelo. Ahora elija la acción que desea realizar:
«Restablecer ajustes» - restaura todos los ajustes del sistema a sus valores predeterminados;
«Restablecer ajustes de red» - restaura todos los ajustes relacionados con la red a sus valores predeterminados;
«Restablecer datos de fábrica» - restablece todo el sistema y elimina por completo todos los datos almacenados;

[Volver al índice]

Desactivar las aplicaciones que tienen privilegios de administrador:

Si una aplicación maliciosa obtiene privilegios de administrador, puede dañar gravemente el sistema. Para mantener el dispositivo lo más seguro posible, siempre debe comprobar qué aplicaciones tienen dichos privilegios y desactivar las que no deberían tenerlos.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Pantalla de bloqueo y seguridad» y tóquelo.

Desplácese hacia abajo hasta ver «Otros ajustes de seguridad», tóquelo y, a continuación, toque «Aplicaciones de administración del dispositivo».

Identifique las aplicaciones que no deberían tener privilegios de administrador, tóquelas y, a continuación, toque «DESACTIVAR».

Preguntas frecuentes (FAQ)

Mi dispositivo Android está infectado con el malware uCreator RAT, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Rara vez es necesario formatear para eliminar malware, y hacerlo provocaría la pérdida permanente de datos. Es aconsejable ejecutar un software antivirus móvil de confianza como Combo Cleaner para analizar y eliminar uCreator RAT, lo que debería ser suficiente en la mayoría de los casos.

¿Cuáles son los mayores problemas que puede causar el malware uCreator RAT?

uCreator RAT puede tomar el control total de cuentas de Telegram y WeChat, incluso eludiendo la autenticación de dos factores para impedir el acceso al propietario legítimo. Puede extraer historiales de mensajes completos, recopilar listas de contactos y capturar credenciales de inicio de sesión de aplicaciones financieras como GCash.

Estas capacidades pueden provocar robo de identidad, fraude financiero y la pérdida permanente del acceso a las cuentas afectadas. Dado que la plataforma se vende a varios operadores, un dispositivo comprometido puede ser objeto de ataques por parte de más de un actor al mismo tiempo.

¿Cuál es el propósito del malware uCreator RAT?

La mayoría de los ataques de malware están motivados por el beneficio económico, y uCreator RAT no es una excepción. Se vende como plataforma comercial a operadores que lo utilizan para el fraude de cuentas, el robo financiero y la recopilación de contactos a gran escala. La infraestructura de la plataforma también sugiere que puede utilizarse para la vigilancia selectiva de personas concretas.

¿Cómo se infiltró el malware uCreator RAT en mi dispositivo Android?

uCreator RAT se distribuye a través de versiones reempaquetadas de aplicaciones legítimas como Telegram y WeChat. Normalmente, se indica a las víctimas que instalen un archivo APK modificado fuera de la tienda de aplicaciones oficial, a menudo mediante enlaces de phishing o ingeniería social a través de plataformas de mensajería. Las aplicaciones reempaquetadas tienen un aspecto idéntico al de las originales, lo que dificulta su identificación.

¿Me protegerá Combo Cleaner del malware?

Combo Cleaner es capaz de detectar y eliminar la gran mayoría de las infecciones de malware conocidas, incluidos los troyanos de acceso remoto. Es fundamental realizar un análisis completo del sistema, ya que las amenazas sofisticadas como uCreator RAT están diseñadas para integrarse profundamente en el sistema.