Em análise publicada em 21 de outubro de 2026, o pesquisador Ovi atribuiu ao uCreator, um kit de spyware alugável para Android, código capaz de capturar a senha de verificação em duas etapas do Telegram e apoiar a clonagem de contas do WeChat pelo contêiner Onion Box.

Como o uCreator atua no Telegram e no WeChat

No Telegram, o código descrito por Ovi intercepta o processo de autenticação e copia a senha de verificação em duas etapas antes de ela ser transformada em hash, uma forma de proteção dos dados. O código também pode consultar o armazenamento local de mensagens e inclui funções para redefinir sessões, mudar o número de telefone vinculado, excluir a conta e ocultar uma sessão invasora da lista de dispositivos exibida no aplicativo modificado.

Para o WeChat, a rota descrita usa o Onion Box, um aplicativo contêiner que executa o WeChat sem modificações. O kit pode copiar a identidade de login e os dados do aplicativo, enviá-los e usar um script para apoiar a clonagem da conta.

As rotas de infecção descritas

As rotas incluem instalar aplicativos adulterados fora das lojas oficiais, engenharia social e executar o WeChat dentro do Onion Box. Ovi não conseguiu determinar como cada vítima foi infectada. Ele também encontrou código com suporte a cerca de 20 aplicativos e publicou código para Telegram e WeChat.

O que o teste no Android 17 mostrou

Em um teste com um Pixel 10 Pro rodando Android 17, o mecanismo de hooking do uCreator não localizou uma função interna necessária. O Frida, outra ferramenta de hooking, ainda conseguiu interceptar aplicativos nesse teste. O resultado foi descrito como trabalho adicional para os desenvolvedores do kit.

O que a comparação com o Baohuo acrescenta

The Hacker News apontou correspondências técnicas entre o uCreator e o Android.Backdoor.Baohuo.1.origin, conhecido como Baohuo: o namespace com.ucreator.tgjar, o servidor C2, usado para comando e controle, e nomes de comandos. A semelhança técnica, por si só, não identifica operadores ou uma campanha em comum.

A Doctor Web descreve três formas de implantação do Baohuo em cópias do Telegram X: modificar o DEX principal, fazer injeção dinâmica com LSPatch ou carregar um DEX separado dos recursos do aplicativo. A descrição técnica também registra um servidor C2 e um banco Redis para o controle do malware. No Baohuo, um sinal de atividade é enviado a cada três minutos e uma solicitação de tarefa é feita a cada minuto.

A Doctor Web estimou mais de 58 mil dispositivos infectados pelo Baohuo. Ovi não conseguiu estimar o impacto do uCreator com os dados de servidor que recuperou. Em 23 de outubro de 2026, uma verificação de DNS feita por The Hacker News encontrou o domínio de envio de versões apontando para 121.37.194[.]194.