Das Android-Spionagekit uCreator soll Telegram-Zugangsdaten abfangen und WeChat-Konten über einen App-Container klonen können. Der Sicherheitsforscher Ovi beschrieb diese Funktionen in einer am 21. Oktober 2026 veröffentlichten Analyse. Sie betreffen manipulierte Telegram-Apps und WeChat innerhalb von Onion Box.

So zielt uCreator auf Telegram und WeChat

Bei Telegram kann der laut Ovi analysierte Code das Passwort für die Bestätigung in zwei Schritten während des Anmeldevorgangs abfangen, bevor es gehasht wird. Außerdem kann er den lokalen Nachrichtenspeicher abfragen. Zum beschriebenen Funktionsumfang gehören auch das Zurücksetzen von Sitzungen, das Ändern der verknüpften Telefonnummer und das Löschen eines Kontos. Eine Sitzung des Angreifers kann der Code in der Geräteliste der manipulierten App verbergen.

Diese Funktionen beschreiben, wozu der Code fähig ist. Sie belegen nicht, dass jede davon bei Betroffenen eingesetzt wurde.

Der WeChat-Weg läuft über Onion Box, eine Container-App, in der WeChat ausgeführt wird. Ovis Analyse zufolge kann uCreator dabei die Anmeldeidentität kopieren, App-Daten verpacken und hochladen sowie mit einem mitgelieferten Skript das Konto klonen. Ovi ordnete dem Kit Code für rund 20 Apps zu; veröffentlichte technische Beispiele betrafen Telegram und WeChat.

Die beschriebenen Installationswege

Zu den genannten Wegen zählen manipulierte Apps, die außerhalb offizieller App-Stores installiert werden, Social Engineering und WeChat innerhalb von Onion Box. Der beschriebene Telegram-Pfad setzt eine veränderte App-Kopie voraus. Ovi konnte anhand der Serverdaten nicht für jeden Betroffenen feststellen, wie die Infektion erfolgte.

Was der Android-17-Test ergab

Bei einem Test auf einem Pixel 10 Pro mit Android 17 fand uCreators eigene Hooking-Engine eine benötigte interne Funktion nicht. Hooking bezeichnet das Abfangen von Funktionsaufrufen innerhalb einer App. Mit Frida ließen sich Apps auf demselben Gerät weiterhin hooken. Der Befund betrifft diesen Test mit dem Pixel 10 Pro und uCreators Engine.

Was der Vergleich mit Baohuo zeigt

Ein am 26. Oktober 2026 veröffentlichter Vergleich von The Hacker News nannte technische Überschneidungen zwischen uCreator und Android.Backdoor.Baohuo.1.origin, darunter den Namensraum com.ucreator.tgjar, C2-Infrastruktur und Befehlsnamen. C2 steht für Command and Control, also die Steuerung eines infizierten Geräts über einen Server. Eine gemeinsame Betreibergruppe oder Kampagne ist damit nicht belegt.

Doctor Web beschreibt für Baohuo drei Wege, Code in Telegram-X-Kopien einzubringen: Änderungen an der Haupt-DEX-Datei, dynamische Injektion mit LSPatch oder eine separate DEX-Datei, die aus App-Ressourcen geladen wird. Die technische Beschreibung von Doctor Web nennt außerdem einen C2-Server und Redis als Befehlswege. Baohuo sendete demnach alle drei Minuten ein Heartbeat-Signal und fragte jede Minute neue Aufgaben ab. Diese Implementierungsdetails gehören zu Baohuo.

Reichweite und Infrastruktur

Ovi konnte anhand der ausgewerteten Serverdaten keine verlässliche Zahl von uCreator-Opfern ermitteln. Doctor Webs Schätzung von mehr als 58.000 infizierten Geräten betrifft Baohuo. Bei einer DNS-Prüfung am 23. Oktober 2026 zeigte die Versions-Upload-Domain von uCreator auf die IP-Adresse 121.37.194[.]194.