🚩 Gmail Account Creator (ShadowHackrs) — Qué es y Auditoría
Veredicto rápido
Herramienta de creación masiva de cuentas Gmail con evasión de detección, proxies y bypass de verificación telefónica vía 5sim.
No es código abierto: el repo solo publica un .exe de ~50 MB. No la uses: viola los Términos de Servicio de Google, puede ser ilegal según jurisdicción y expone credenciales en texto plano.
Aviso
Esta nota documenta qué es y qué encontré en la auditoría estática. No incluye el procedimiento de uso ni la configuración para crear cuentas: eso es facilitación de abuso de plataforma.
Estrategias para saltar la verificación y compra automática de números en 5sim
Proxies
Integración con fp (FreeProxy) y validación de proxy por cuenta
Persistencia
Guarda email + contraseña + fecha en data/accounts.json
UI
Consola con rich: menú, barras de progreso y estadísticas
Datos que pide para operar:config/password.txt (contraseña), config/5sim_config.txt (API key), data/names.txt (nombres), config/user_agents.txt.
La contradicción del repo
El README indica ejecutar python auto_gmail_creator.py, pero ese archivo no existe en el repositorio. Solo está el .exe. La sección de configuración incluso habla de “obfuscate main script”. No hay código fuente que auditar ni build reproducible.
3. Auditoría estática del binario
Método: descarga a /tmp, hash, extracción del archivo PyInstaller (pyinstxtractor), desensamblado del módulo principal con xdis y listado del archivo PYZ (1.769 módulos).
Hallazgo
Resultado
Empaquetado
PyInstaller onefile con Python 3.13
Módulo principal
auto_gmail_creator.pyc — la lógica del quiz de registro está ahí
os.system("cls"/"clear") únicamente para limpiar consola
subprocess / exec / eval / compile
Importados algunos, sin llamadas detectadas en el módulo principal
Persistencia
Ninguna: no toca Run, Startup, tareas programadas ni servicios
Salida de red
requests.get solo contra 5sim.net; el resto es navegación del driver a Google
Exfiltración
No encontrada en el módulo principal (sin webhooks, Telegram, Discord ni dominios raros)
Credenciales
accounts.json guarda email y contraseña en texto plano
Límites de esta auditoría
Solo se revisó el módulo principal y el índice del PYZ; no se decompiló cada librería.
El binario puede cambiar sin aviso: el hash de hoy no garantiza el de mañana.
La licencia prohíbe expresamente ingeniería inversa, así que ni el autor facilita la verificación ni tú tienes permiso legal para hacerla.
“No encontré exfiltración” no equivale a “es seguro”. Un binario cerrado de 50 MB sigue siendo una caja negra.
4. Riesgos reales
Riesgo
Por qué importa
Violación de ToS de Google
Creación masiva y evasión de verificación → suspensión de cuentas y bloqueo de IP/dispositivo
Posible ilegalidad
Bypass de controles de identidad y uso de números ajenos puede caer en fraude informático o suplantación según el país
Credenciales en claro
accounts.json y password.txt sin cifrar; cualquier malware o backup filtrado las expone
Proxies gratuitos
Listas públicas de proxies = intermediario desconocido; riesgo de MITM y robo de sesión
API key de 5sim
Se guarda en un .txt y viaja en cada request; si se filtra, gastan tu saldo
Identidad falsa
Nombres aleatorios y fecha de nacimiento fija (ej. 1950) para simular mayores de edad
Uso típico
Granjas de cuentas para spam, reseñas falsas, abuso de promociones o reventa
Caja negra
No hay fuente, no hay releases, no hay build verificable, licencia propietaria
5. ¿El código está bien?
Como código, no se puede evaluar: no hay código. Lo que hay es un ejecutable empaquetado con PyInstaller. La auditoría estática no encontró backdoors obvios, pero eso no lo hace confiable.
Como herramienta, está mal por diseño: automatiza justo lo que Google intenta impedir (registro masivo + evasión de teléfono). Aunque el binario estuviera limpio, el propósito sigue siendo abusivo.
Regla práctica
Si un repo de automatización solo publica el .exe y su licencia prohíbe descompilarlo, la respuesta por defecto es no ejecutarlo. Y si además promete “phone verification bypass”, la respuesta es no ejecutarlo y no distribuirlo.
6. Alternativas legítimas
Necesidad
Camino correcto
Muchas cuentas para un equipo
Google Workspace con tu dominio
Probar flujos de registro
Cuentas de prueba propias, entornos de staging y mocks
Automatizar correo
Gmail API con OAuth y cuotas oficiales
Separar identidades sin crear cuentas
Alias con + en Gmail o subdirecciones del dominio
Formularios que piden email
Servicios de correo temporal solo si el sitio lo permite y no hay datos sensibles
7. Conclusión
En una línea
Es una herramienta de account farming disfrazada de “Gmail Creator Pro”: binario cerrado, sin fuente, con bypass de verificación telefónica y credenciales en texto plano. No vale el riesgo legal, técnico ni de seguridad.