Un resoconto pubblicato da The Hacker News il 26 ottobre 2026 descrive le capacità dello spyware Android uCreator sulla base dell’analisi di Ovi, pubblicata il 21 ottobre: il codice può acquisire la password di verifica in due passaggi di Telegram e supportare la clonazione di account WeChat tramite l’app contenitore Onion Box. Sono capacità tecniche attribuite al kit, non la prova che ogni funzione sia stata usata contro una vittima.
Come uCreator agisce su Telegram e WeChat
Secondo l’analisi di Ovi, il codice inserito in una versione modificata di Telegram può intercettare la procedura di accesso e copiare la password di verifica in due passaggi prima che venga sottoposta ad hashing, cioè trasformata in una stringa non leggibile direttamente. Il codice può anche interrogare l’archivio locale dei messaggi.
Le funzioni descritte includono la gestione delle sessioni, la modifica del numero di telefono collegato e la cancellazione dell’account. Il codice può inoltre nascondere una sessione dell’aggressore dall’elenco dei dispositivi mostrato nell’app modificata. La presenza di queste funzioni nel codice non dimostra che siano state eseguite sugli account delle vittime.
Per WeChat, la strada descritta è diversa: il kit può eseguire l’app dentro Onion Box, copiare l’identità di accesso e i dati dell’app e usare uno script per supportare la clonazione dell’account. Le vie d’infezione riportate comprendono l’installazione fuori dagli store ufficiali di app modificate, l’ingegneria sociale e l’esecuzione di WeChat nel contenitore Onion Box. Ovi non ha determinato quale via abbia coinvolto ogni vittima.
Che cosa ha rilevato il test su Android 17
Nel test riferito su un Pixel 10 Pro con Android 17, il motore di hooking di uCreator non ha trovato una funzione interna necessaria. L’hooking consiste nell’agganciare funzioni di un’app per osservarne o modificarne il comportamento. Nello stesso test, Frida riusciva ancora a eseguire hooking sulle app: il risultato riguardava quindi il motore del kit in quella configurazione, non un blocco generale dell’attacco da parte di Android 17.
Che cosa collega uCreator a Baohuo
Il confronto tecnico riportato da The Hacker News segnala corrispondenze tra uCreator e Android.Backdoor.Baohuo.1.origin, il malware descritto da Doctor Web: tra queste figurano lo spazio dei nomi com.ucreator.tgjar, un server C2, cioè di comando e controllo, e nomi di comandi coincidenti. Questi elementi indicano somiglianze tecniche, ma non identificano gli stessi operatori o la stessa campagna.
Doctor Web descrive per Baohuo tre modalità d’inserimento nelle copie di Telegram X: la modifica del DEX principale, l’iniezione dinamica tramite LSPatch oppure il caricamento di un DEX separato dalle risorse dell’app. La scheda tecnica di Doctor Web descrive inoltre un’infrastruttura con server C2 e Redis. Per Baohuo, un segnale di presenza veniva inviato ogni tre minuti e una richiesta di attività partiva ogni minuto. Sono dettagli riferiti a Baohuo, non caratteristiche accertate di uCreator.
Impatto e osservazioni sull’infrastruttura
Ovi non ha ricavato dai dati del server un conteggio affidabile delle vittime di uCreator. La stima di oltre 58.000 dispositivi infetti riguarda Baohuo, secondo Doctor Web.
Nel controllo DNS effettuato il 23 ottobre 2026 da The Hacker News, il dominio usato per caricare le versioni risultava associato all’indirizzo 121.37.194[.]194.
