Le logiciel espion Android uCreator peut, selon l’analyse d’Ovi publiée le 21 octobre 2026 et détaillée par The Hacker News le 26 octobre, capter le mot de passe de vérification en deux étapes de Telegram et faciliter le clonage de comptes WeChat via Onion Box. Ces fonctions reposent sur deux parcours distincts : une application Telegram modifiée et WeChat exécuté dans le conteneur du kit.
Les fonctions attribuées à uCreator sur Telegram et WeChat
Dans la copie modifiée de Telegram, le code intercepte le processus de validation de connexion et copie le mot de passe de vérification en deux étapes avant son hachage. Il peut aussi interroger la base locale des messages. Le code comprend des fonctions pour réinitialiser les sessions, changer le numéro associé au compte, supprimer le compte ou masquer une session de l’attaquant dans la liste affichée par l’application modifiée. Ce sont des capacités décrites dans le code, pas la preuve que chacune a été utilisée contre une victime.
Pour WeChat, le scénario décrit passe par Onion Box, un conteneur qui exécute l’application intacte. Le kit peut copier l’identité de connexion et les données de l’application, puis utiliser un script intégré pour cloner le compte. Ovi a également repéré du code associé à une vingtaine d’applications, tandis que les mécanismes détaillés concernent Telegram et WeChat.
Les voies d’infection décrites
Les voies rapportées comprennent l’installation manuelle de copies modifiées hors des boutiques officielles, l’ingénierie sociale et l’utilisation de WeChat dans Onion Box. Ovi n’a pas pu établir comment chaque victime avait été infectée.
Certaines copies modifiées de Telegram X reprennent le nom de paquet de l’application légitime sur Google Play. Ce nom, à lui seul, ne permet donc pas de vérifier qu’une copie est authentique.
Ce que révèle le test sous Android 17
Sur un Pixel 10 Pro sous Android 17, le moteur d’interception de uCreator n’a pas trouvé une fonction interne nécessaire. Frida pouvait néanmoins intercepter des applications lors du test. Ovi a décrit cet obstacle comme un surcroît de travail pour les développeurs du kit, et non comme un blocage de l’attaque.
Les recoupements avec Baohuo restent techniques
Les analyses rapprochent uCreator et Android.Backdoor.Baohuo.1.origin par leur espace de noms com.ucreator.tgjar, leur infrastructure C2, c’est-à-dire de commande et de contrôle, et des noms de commandes concordants. Ces similitudes ne permettent pas d’attribuer les deux outils aux mêmes opérateurs.
Doctor Web décrit trois modes d’implantation propres à Baohuo dans des copies de Telegram X : la modification du DEX principal, l’injection dynamique par LSPatch ou le chargement d’un DEX distinct depuis les ressources de l’application. Le DEX est un format de fichier qui contient du code destiné à Android. Pour Baohuo, Doctor Web décrit aussi des échanges via un serveur C2 et une base Redis, avec un signal d’activité toutes les trois minutes et une demande de tâche chaque minute. Ces méthodes et ces intervalles concernent Baohuo.
Ovi n’a pas établi de décompte fiable des victimes de uCreator. L’estimation de Doctor Web, supérieure à 58 000 appareils infectés, porte sur Baohuo. Un contrôle DNS rapporté par The Hacker News le 23 octobre 2026 a trouvé le domaine de mise à jour des versions à l’adresse 121.37.194[.]194.
