El análisis de Ovi, publicado el 21 de octubre de 2026, atribuye a uCreator, también llamado YingGai, código capaz de capturar la contraseña de verificación en dos pasos de Telegram y facilitar el clonado de cuentas de WeChat mediante Onion Box. El informe describe funciones del kit, no un recuento de ataques contra usuarios.

Cómo afecta el código a Telegram y WeChat

En copias modificadas de Telegram, uCreator puede interceptar el proceso de inicio de sesión y copiar la contraseña de verificación en dos pasos antes de que se procese mediante un hash, una huella matemática de la contraseña. El código también puede consultar el almacenamiento local de mensajes.

Entre las funciones descritas figuran restablecer sesiones, cambiar el número de teléfono vinculado, eliminar la cuenta y ocultar una sesión del atacante en la lista de dispositivos que muestra la aplicación modificada. Son acciones que el código permite, no un registro de que se llevaran a cabo en cada caso.

La ruta para WeChat es distinta: Onion Box ejecuta la aplicación dentro de su propio contenedor, copia la identidad de inicio de sesión y empaqueta y sube datos de la app. Un script incluido en el kit puede clonar la cuenta.

Qué vías de infección se describen

Las vías señaladas son instalar aplicaciones manipuladas fuera de las tiendas oficiales, recurrir a ingeniería social o ejecutar WeChat dentro de Onion Box. Ovi no pudo determinar cómo se infectó cada víctima.

Algunas copias manipuladas de Telegram X usan el mismo nombre de paquete que la aplicación legítima de Google Play. Por eso, ese nombre por sí solo no acredita que una copia sea auténtica.

Qué mostró la prueba con Android 17

En una prueba con un Pixel 10 Pro y Android 17, el motor de hooking de uCreator no encontró una función interna necesaria. Frida, otra herramienta para interceptar funciones de aplicaciones, sí pudo hacerlo en esa prueba. El resultado se limitó a ese dispositivo y a ese ensayo.

Ovi también recuperó muestras preparadas para Android 16, pero no informó de haberlas probado. La investigación tampoco incluyó teléfonos de fabricantes chinos.

Qué revela la comparación con Baohuo

Los análisis señalan coincidencias entre uCreator y Android.Backdoor.Baohuo.1.origin, el malware descrito por Doctor Web: el espacio de nombres com.ucreator.tgjar, infraestructura C2, es decir, de mando y control, y nombres de comandos. Ovi consideró que compartir operadores o una campaña no estaba demostrado.

La ficha técnica de Doctor Web describe tres formas de implantar Baohuo en copias de Telegram X: modificar el código principal de la aplicación, inyectar código de forma dinámica mediante LSPatch o cargar un DEX separado desde los recursos de la app. También documenta canales de mando C2 y Redis. Estos detalles corresponden a Baohuo.

Doctor Web describe para Baohuo un pulso de actividad cada tres minutos y solicitudes de tareas cada minuto. Esos intervalos pertenecen a ese malware y no se atribuyen a uCreator.

Alcance de las cifras y una observación DNS fechada

Ovi dijo que los datos del servidor de uCreator no permitían calcular cuántas personas habían sido afectadas. La estimación de más de 58.000 dispositivos infectados que Doctor Web publicó corresponde a Baohuo.

The Hacker News informó que, en una consulta DNS del 23 de octubre de 2026, el dominio de carga de versiones resolvía a 121.37.194[.]194.