The Hacker News opisał 26 października 2026 r. techniczne podobieństwa między uCreator a Android.Backdoor.Baohuo.1.origin. Analiza Ovi, opublikowana 21 października, opisuje kod uCreator zdolny przechwycić hasło weryfikacji dwuetapowej Telegrama i wspierać klonowanie kont WeChat.
Jak uCreator działa z Telegramem i WeChat
Ovi opisał uCreator jako zestaw spyware dla Androida dostępny na wynajem. W zmodyfikowanej aplikacji Telegram kod przechwytuje proces potwierdzania logowania i kopiuje hasło weryfikacji dwuetapowej, zanim zostanie ono przekształcone w skrót kryptograficzny, czyli hasz. Kod może też odczytywać lokalny magazyn wiadomości.
Opisane funkcje Telegrama obejmują resetowanie sesji, zmianę przypisanego numeru telefonu, usunięcie konta oraz ukrywanie sesji napastnika na liście urządzeń wyświetlanej w zmodyfikowanej aplikacji.
W przypadku WeChat uCreator uruchamia niezmienioną aplikację we własnym kontenerze Onion Box. Według analizy zestaw może kopiować dane logowania i dane aplikacji, a do klonowania konta wykorzystywać dołączony skrypt.
Jakie drogi infekcji opisano
Ovi opisał instalowanie zmodyfikowanych aplikacji spoza oficjalnych sklepów, socjotechnikę oraz uruchamianie WeChat wewnątrz Onion Box. Ovi nie ustalił, jaką drogą doszło do każdej infekcji.
Co pokazał test na Androidzie 17
W teście na Pixel 10 Pro z Androidem 17 mechanizm hookowania uCreator nie odnalazł wymaganej funkcji wewnętrznej systemu. Hookowanie polega na podpinaniu się do działania aplikacji. Frida nadal mogła hookować aplikacje, a Ovi opisał wynik jako dodatkową pracę dla twórców zestawu. Ovi odzyskał też próbki przygotowane dla Androida 16, ale nie opisał ich testów.
Zbieżności z Baohuo i techniki opisane przez Doctor Web
Porównanie opublikowane przez The Hacker News wskazuje na zgodność przestrzeni nazw com.ucreator.tgjar, serwera C2 i nazw poleceń w opisach uCreator i Android.Backdoor.Baohuo.1.origin. Serwer C2, czyli serwer dowodzenia i kontroli, służy do komunikacji z zainfekowanymi urządzeniami. Ovi określił hipotezę wspólnego autorstwa trzech firm z chińskiej prowincji Hunan jako możliwą, lecz nieudowodnioną.
Doctor Web opisał trzy sposoby umieszczania Baohuo w kopiach Telegram X: modyfikację głównego pliku DEX, dynamiczne wstrzyknięcie kodu przez LSPatch albo osobny plik DEX w zasobach aplikacji, ładowany w trakcie jej działania. Doctor Web wskazał też kanały C2 i bazę Redis. Baohuo wysyłał sygnał kontrolny z danymi konta i urządzenia co trzy minuty, a o nowe polecenie pytał co minutę.
Ovi nie ustalił wiarygodnej liczby ofiar uCreator. Szacunek Doctor Web mówiący o ponad 58 tys. zainfekowanych urządzeń dotyczy Baohuo. Podczas kontroli DNS 23 października 2026 r. The Hacker News odnotował, że domena przesyłania wersji wskazywała wtedy na adres 121.37.194[.]194.
