Ovi beschreef in een analyse die op 21 oktober 2026 verscheen, uCreator als Android-spyware die Telegram-inloggegevens kan onderscheppen en WeChat-accountklonen kan ondersteunen. De kit werkt volgens de analyse via aangepaste Telegram-apps of via de containerapp Onion Box, waarin WeChat draait.

Wat uCreator met Telegram en WeChat kan doen

In aangepaste Telegram-apps kan de beschreven code het wachtwoord voor tweestapsverificatie kopiëren voordat het door een hashfunctie wordt omgezet. De code kan ook Telegrams lokale berichtenopslag uitlezen en sessies beheren. Genoemde functies zijn sessies beëindigen, het gekoppelde telefoonnummer wijzigen, een account verwijderen en een aanvallerssessie verbergen in de apparatenlijst van de aangepaste app.

Voor WeChat beschrijft Ovi een andere route: de app draait ongewijzigd binnen Onion Box, een containerapp die een app in een aparte omgeving uitvoert. De kit kan de inlogidentiteit kopiëren, appgegevens verzamelen en uploaden en een meegeleverd script gebruiken om een account te klonen.

De beschreven infectieroutes

De gemelde routes zijn aangepaste apps die buiten officiële appwinkels worden geïnstalleerd, social engineering en WeChat gebruiken binnen Onion Box. Ovi kon niet vaststellen hoe iedere besmetting plaatsvond.

Sommige aangepaste Telegram X-apps gebruiken dezelfde pakketnaam als de echte app in Google Play. Die naam alleen is dus geen bewijs dat een app authentiek is.

Wat de test met Android 17 liet zien

Op een Pixel 10 Pro met Android 17 kon de hooking-engine van uCreator een vereiste interne Android-functie niet vinden. Frida kon in die test nog wel apps hooken, oftewel onderdelen ervan tijdens het uitvoeren onderscheppen. De bevinding betekende volgens Ovi extra werk voor de makers van de kit.

Wat de vergelijking met Baohuo aantoont

De technische beschrijvingen noemen voor uCreator en Android.Backdoor.Baohuo.1.origin dezelfde Telegram-namespace, com.ucreator.tgjar, naast overeenkomsten in commandonamen en C2-infrastructuur. C2 staat voor command-and-control: de server waarmee malware opdrachten kan ontvangen of gegevens kan uitwisselen. De technische overlap bewijst geen gedeelde operators of campagne.

Doctor Web beschrijft specifiek voor Baohuo drie manieren waarop de backdoor in Telegram X-kopieën terechtkwam: aanpassing van de hoofd-DEX, het bestand met appcode; dynamische injectie via LSPatch; of een aparte DEX die vanuit appbronnen wordt geladen. De commandokanalen van Baohuo omvatten een C2-server en Redis, een databasesysteem. Doctor Web beschrijft voor Baohuo een heartbeat om de drie minuten en een taakverzoek iedere minuut. Dat zijn Baohuo-details, geen vastgestelde uCreator-intervallen.

Bereik en een gedateerde DNS-waarneming

Ovi stelde geen betrouwbaar slachtoffertal voor uCreator vast. Doctor Web schatte voor Baohuo meer dan 58.000 besmette apparaten. Dat aantal hoort bij Baohuo.

Bij een DNS-controle op 23 oktober 2026 verwees het versie-uploaddomein van uCreator naar 121.37.194[.]194.