Wie man den uCreator Remote-Access-Trojaner von Android entfernt

Welche Art von Malware ist uCreator RAT?

uCreator RAT (von seinem Entwickler unter dem Namen YingGai verkauft) ist eine ausgeklügelte Android-Spyware-Plattform und ein Remote-Access-Trojaner. Er nutzt App-Virtualisierung, um legitime Messaging- und Zahlungsanwendungen auf infizierten Geräten unbemerkt zu instrumentieren. Laut einer von 0x0v1 veröffentlichten Untersuchung zielt er auf Nutzer von WeChat, Telegram, GCash und über einem Dutzend weiterer Messaging- und Finanz-Apps ab.

uCreator RAT Malware-Übersicht

uCreator RAT ist keine klassische eigenständige bösartige Anwendung. Es handelt sich um eine kommerzielle Überwachungsplattform, die unter dem Namen YingGai verkauft wird und auf dem Konzept der „Massenkontrolle“ aufbaut. Die Plattform kombiniert eine App-Virtualisierungs-Engine, zielspezifische Hook-Module, eine cloudbasierte Steuerungsinfrastruktur und eine Windows-Bedienkonsole zur Verwaltung kompromittierter Geräte.

Die Plattform verschafft sich Zugang zu legitimen Apps mithilfe von Tools wie LSPatch und Pine, die auf dem Hooking-Framework Xposed basieren. Diese Tools laden den Code der Ziel-App in einen kontrollierten Prozess, ohne dass Root-Zugriff auf das Gerät erforderlich ist. Die Ziel-App scheint normal zu funktionieren, während die Malware unsichtbar in deren eigenem Prozessraum ausgeführt wird.

uCreator RAT ist darauf ausgelegt, Messaging- und Finanz-Apps anzugreifen, die in China und Südostasien beliebt sind. Zu den bestätigten Zielen gehören WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo und GCash. Beweise, die von einem C2-Server sichergestellt wurden, deuten darauf hin, dass sich die Opfer in China und den Vereinigten Staaten befanden.

Das Telegram-Modul ist die invasivste entdeckte Komponente. Anstatt Datenbankdateien vom Gerät zu kopieren, führt es Live-SQL-Abfragen gegen die aktive interne SQLite-Datenbank von Telegram aus und liest den Nachrichtenverlauf mit den eigenen Berechtigungen und Handles der App aus.

Dasselbe Modul klinkt sich zudem in die Zwei-Faktor-Authentifizierung von Telegram ein, um das Kontopasswort im Klartext abzufangen, bevor es gehasht oder übertragen wird. Mit diesem Passwort kann ein Betreiber aktive Sitzungen auflisten und vertrauenswürdige Geräte aus der Liste der autorisierten Geräte entfernen.

Die Plattform enthält außerdem speziellen Code, um den rechtmäßigen Besitzer vollständig aus seinem eigenen Konto auszusperren. Diese Kontosperrfunktion ist eine beabsichtigte, ausdrücklich benannte Funktion und keine zufällige Nebenwirkung. Im schlimmsten Fall könnte ein Angreifer die vollständige Kontrolle über ein Telegram-Konto übernehmen und das Opfer daran hindern, es wiederherzustellen.

Jede gehookte Anwendung stellt einen lokalen HTTP-Befehlsserver mit etwa 40 nummerierten Handlern bereit. Diese umfassen das Abrufen von Kontakten, das Sammeln von SMS, Datenbankabfragen, das Versenden von Nachrichten und die Manipulation von Sitzungen. Befehle werden über einen Redis-Nachrichtenbus übermittelt und innerhalb des Prozesses der Ziel-App mit deren eigener Identität und Berechtigungen ausgeführt.

Über Messaging-Apps hinaus verfügt die Plattform über eine Kamera-Spoofing-Funktion, mit der Know-your-Customer-Lebenderkennungsprüfungen (KYC), die von Finanzdienstleistern verwendet werden, umgangen werden sollen. Das WeChat-Modul konzentriert sich auf das Klonen von Konten: Es sammelt Anmeldedaten und Kontaktlisten und sichert anschließend die vollständigen Kontodaten im Cloud-Speicher des Betreibers.

Eine geleakte GitLab-Instanz legte den vollständigen Backend-Quellcode der Plattform offen, einschließlich einer mandantenfähigen Bedienkonsole, die an nachgelagerte Kunden vermietet wird. Der Commit-Verlauf identifizierte rund drei Dutzend Entwickler in Changsha, China, wobei die jüngsten Commits aus dem Herbst 2026 stammen. Die Infrastruktur unterstützt mehrere Betreiber gleichzeitig, von denen jeder seine eigene Flotte von Opfergeräten angreift.

Es muss erwähnt werden, dass Malware-Entwickler ihre Software und Methoden häufig verbessern. Künftige Versionen von uCreator RAT könnten die Liste der Zielanwendungen erweitern oder zusätzliche Funktionen einführen. Zusammenfassend lässt sich sagen, dass das Vorhandensein von Software wie uCreator RAT auf einem Gerät zur Übernahme von Konten, schwerwiegenden Datenschutzverletzungen, finanziellen Verlusten und Identitätsdiebstahl führen kann.

Beispiele für Remote Access Trojaner

uCreator RAT hebt sich unter den Android-Bedrohungen durch den Einsatz von App-Virtualisierung direkt auf dem Gerät ab. Dieser Ansatz macht es Sicherheitstools besonders schwer, die Malware zu erkennen, da sie innerhalb des Prozesses einer legitimen App arbeitet, anstatt als eigenständige verdächtige Anwendung ausgeführt zu werden.

Weitere Beispiele für Remote Access Trojaner, die auf Android abzielen, sind RatHat, Night Dragon und Flying Eagle. Malware dieser Art wird häufig eingesetzt, um persönliche Daten zu stehlen, Finanzbetrug zu begehen und Opfer ohne deren Wissen auszuspionieren.

Unabhängig von der konkreten Bedrohung entwickeln Cyberkriminelle ständig neue Tools, um mobile Nutzer anzugreifen. Vorsicht bei den Installationsquellen von Apps und eine aktive Sicherheitssoftware sind die zuverlässigsten Schutzmaßnahmen, die alltäglichen Nutzern zur Verfügung stehen.

Wie ist uCreator RAT in mein Gerät eingedrungen?

uCreator RAT gelangt über umgepackte Kopien legitimer Anwendungen auf Geräte. Forscher fanden modifizierte Telegram-Builds, die per Sideloading verbreitet wurden, wobei Nutzer dazu verleitet werden, APK-Dateien manuell außerhalb des offiziellen Google Play Store zu installieren. Eine eigens dafür eingerichtete Verbreitungsdomain stellte diese modifizierten APKs bereit, wurde inzwischen jedoch vom Netz genommen.

Die Plattform wird außerdem über eine Container-App namens Onion Box verbreitet, die Ziel-Apps innerhalb der Virtualisierungsumgebung ausführt. Opfer werden in der Regel über Social Engineering angesprochen, vermutlich über Messaging-Plattformen oder Phishing-Links. Da umgepackte Apps genauso aussehen und sich genauso verhalten wie die Originale, haben die meisten Nutzer keinerlei Hinweis darauf, dass etwas nicht stimmt.

Wie vermeidet man die Installation von Malware?

Der sicherste Weg, diese Art von Bedrohung zu vermeiden, besteht darin, Apps ausschließlich aus dem offiziellen Google Play Store herunterzuladen. App-Dateien, die über Messaging-Apps, soziale Medien oder unbekannte Websites geteilt werden, sind ein gängiger Verbreitungsweg für modifizierte Malware. Prüfen Sie den Namen des Entwicklers und lesen Sie Nutzerbewertungen, bevor Sie etwas installieren, selbst wenn Ihnen die App bekannt vorkommt.

Halten Sie das Betriebssystem Ihres Geräts und alle installierten Apps auf dem neuesten Stand, da Updates häufig wichtige Sicherheitspatches enthalten. Klicken Sie nicht auf verdächtige Links, die per SMS, Messaging-App oder E-Mail gesendet werden. Die Installation seriöser Sicherheitssoftware wie Combo Cleaner kann bösartige Anwendungen erkennen und blockieren, bevor sie Schaden anrichten.

Schnellmenü:

• Einleitung
• Wie löscht man den Browserverlauf im Webbrowser Chrome?
• Wie deaktiviert man Browserbenachrichtigungen im Webbrowser Chrome?
• Wie setzt man den Webbrowser Chrome zurück?
• Wie löscht man den Browserverlauf im Webbrowser Firefox?
• Wie deaktiviert man Browserbenachrichtigungen im Webbrowser Firefox?
• Wie setzt man den Webbrowser Firefox zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „abgesicherten Modus“?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man die Datennutzung verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen mit Administratorrechten?

Browserverlauf im Webbrowser Chrome löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Tippen Sie auf „Browserdaten löschen“, wählen Sie den Tab „ERWEITERT“, legen Sie den Zeitraum und die zu löschenden Datentypen fest und tippen Sie auf „Daten löschen“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Webbrowser Chrome deaktivieren:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Einstellungen“.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen“ sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen“ sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen“. Dadurch werden die diesen Websites erteilten Berechtigungen zum Senden von Benachrichtigungen entfernt. Wenn Sie dieselbe Website jedoch erneut besuchen, kann sie erneut um eine Berechtigung bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert“ verschoben und fragt Sie nicht mehr nach der Berechtigung).

[Zurück zum Inhaltsverzeichnis]

Webbrowser Chrome zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „SPEICHER VERWALTEN“, dann auf „ALLE DATEN LÖSCHEN“ und bestätigen Sie den Vorgang, indem Sie auf „OK“ tippen. Beachten Sie, dass beim Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich auf allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Webbrowser Firefox löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Scrollen Sie nach unten, bis Sie „Private Daten löschen“ sehen, und tippen Sie darauf. Wählen Sie die Datentypen aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Webbrowser Firefox deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das Symbol links neben der URL-Leiste (das Symbol muss nicht unbedingt ein „Schloss“ sein) und wählen Sie „Website-Einstellungen bearbeiten“.

Aktivieren Sie im geöffneten Pop-up die Option „Benachrichtigungen“ und tippen Sie auf „LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Webbrowser Firefox zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „DATEN LÖSCHEN“ und bestätigen Sie den Vorgang, indem Sie auf „LÖSCHEN“ tippen. Beachten Sie, dass beim Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich auf allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren“. Wenn Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie es im „abgesicherten Modus“ versuchen.

[Zurück zum Inhaltsverzeichnis]

Android-Gerät im „abgesicherten Modus“ starten:

Der „abgesicherte Modus“ im Android-Betriebssystem verhindert vorübergehend die Ausführung aller Drittanbieteranwendungen. Dieser Modus eignet sich gut, um verschiedene Probleme zu diagnostizieren und zu beheben (z. B. um bösartige Anwendungen zu entfernen, die Benutzer daran hindern, wenn das Gerät „normal“ läuft).

Drücken Sie die „Ein/Aus“-Taste und halten Sie sie gedrückt, bis der Bildschirm „Ausschalten“ erscheint. Tippen Sie auf das Symbol „Ausschalten“ und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „Abgesicherter Modus“, und Sie können ihn durch einen Neustart des Geräts starten.

[Zurück zum Inhaltsverzeichnis]

Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Gerätewartung“ sehen, und tippen Sie darauf.

Tippen Sie auf „Akku“ und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um das beste Benutzererlebnis zu bieten und Strom zu sparen. Ein hoher Akkuverbrauch kann daher darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Datennutzung verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Verbindungen“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datennutzung“ sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen so konzipiert, dass sie die Datennutzung so gering wie möglich halten. Eine enorme Datennutzung kann daher auf das Vorhandensein einer bösartigen Anwendung hindeuten. Beachten Sie, dass einige bösartige Anwendungen möglicherweise so konzipiert sind, dass sie nur aktiv werden, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Neueste Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine bewährte Praxis für die Gerätesicherheit. Die Gerätehersteller veröffentlichen fortlaufend verschiedene Sicherheitspatches und Android-Updates, um Fehler und Schwachstellen zu beheben, die von Cyberkriminellen ausgenutzt werden können. Ein veraltetes System ist weitaus anfälliger, weshalb Sie stets sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Software-Update“ sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen“ und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen“ zu aktivieren - dadurch kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

System auf seinen Standardzustand zurücksetzen:

Das Zurücksetzen auf die „Werkseinstellungen“ ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät generell zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät und nicht auf der SIM-Karte gespeichert sind), SMS-Nachrichten usw. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach nur die Netzwerkeinstellungen zurücksetzen.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Telefoninfo“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen“ sehen, und tippen Sie darauf. Wählen Sie nun die Aktion aus, die Sie durchführen möchten:
„Einstellungen zurücksetzen“ - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen“ - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen“ - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps über solche Rechte verfügen, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen“ sehen, tippen Sie darauf und tippen Sie dann auf „Geräteadministrator-Apps“.

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und tippen Sie dann auf „DEAKTIVIEREN“.

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der Malware uCreator RAT infiziert. Sollte ich mein Speichermedium formatieren, um sie loszuwerden?

Eine Formatierung ist zur Entfernung von Malware selten notwendig und würde zu einem dauerhaften Datenverlust führen. Es empfiehlt sich, eine seriöse mobile Antivirensoftware wie Combo Cleaner auszuführen, um uCreator RAT zu scannen und zu entfernen, was in den meisten Fällen ausreichen sollte.

Was sind die größten Probleme, die die Malware uCreator RAT verursachen kann?

uCreator RAT kann Telegram- und WeChat-Konten vollständig übernehmen und dabei sogar die Zwei-Faktor-Authentifizierung umgehen, um den rechtmäßigen Besitzer auszusperren. Die Malware kann vollständige Nachrichtenverläufe extrahieren, Kontaktlisten sammeln und Anmeldedaten für Finanz-Apps wie GCash abfangen.

Diese Fähigkeiten können zu Identitätsdiebstahl, Finanzbetrug und dem dauerhaften Verlust des Zugangs zu den betroffenen Konten führen. Da die Plattform an mehrere Betreiber verkauft wird, kann ein kompromittiertes Gerät gleichzeitig von mehr als einem Akteur angegriffen werden.

Was ist der Zweck der Malware uCreator RAT?

Die meisten Malware-Angriffe sind durch finanziellen Gewinn motiviert, und uCreator RAT bildet hier keine Ausnahme. Die Malware wird als kommerzielle Plattform an Betreiber verkauft, die sie für Kontobetrug, finanziellen Diebstahl und das massenhafte Sammeln von Kontakten nutzen. Die Infrastruktur der Plattform deutet außerdem darauf hin, dass sie zur gezielten Überwachung bestimmter Personen eingesetzt werden kann.

Wie ist die Malware uCreator RAT in mein Android-Gerät eingedrungen?

uCreator RAT wird über umgepackte Versionen legitimer Apps wie Telegram und WeChat verbreitet. Opfer werden in der Regel dazu verleitet, eine modifizierte APK-Datei außerhalb des offiziellen App-Stores zu installieren, häufig über Phishing-Links oder Social Engineering über Messaging-Plattformen. Die umgepackten Apps sehen genauso aus wie die Originale, was ihre Identifizierung erschwert.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner ist in der Lage, die überwiegende Mehrheit bekannter Malware-Infektionen zu erkennen und zu beseitigen, einschließlich Remote Access Trojanern. Ein vollständiger Systemscan ist unerlässlich, da raffinierte Bedrohungen wie uCreator RAT darauf ausgelegt sind, sich tief im System einzunisten.