Eine käuflich erhältliche Android-Spyware namens uCreator kann laut Forscher Ovi Telegram- und WeChat-Konten übernehmen, und zwar über manipulierte Apps oder einen vom Angreifer kontrollierten App-Container. Seine Analyse, veröffentlicht am 21. Oktober 2026, beschreibt Funktionen zum Abgreifen von Zugangsdaten, zum Abrufen von Telegram-Nachrichten und zum Klonen von WeChat-Konten. Wie viele Personen betroffen sind, belegt sie jedoch nicht.
Die dokumentierten Angriffswege setzen voraus, dass Nutzer eine manipulierte App installieren, die außerhalb offizieller Stores verbreitet wird, oder dass sie WeChat im Container der Baukasten-Macher ausführen, 洋葱盒子 („Onion Box“). Ovi fand Hinweise auf Sideloading, also das direkte Installieren von App-Dateien, sowie auf Social Engineering. Wie genau sich jedes Opfer infiziert hat, konnte er jedoch nicht feststellen.
Einige manipulierte Kopien von Telegram X behalten den Paketnamen der legitimen App bei. Dieser Bezeichner reicht deshalb nicht aus, um sie zu unterscheiden. Die Spyware läuft innerhalb der Messaging-App mit deren Identität und Berechtigungen und hat damit Zugriff auf alles, was der angemeldeten Anwendung zur Verfügung steht.
Telegram-Zugangsdaten und Kontrolle über Konten
Ovi stellte fest, dass das Kit nach der Installation Code für einzelne Zielanwendungen nachlädt, weshalb das Installationspaket allein weniger aussagekräftig ist. Jede manipulierte App betreibt außerdem einen lokalen Befehlsserver. Bei Telegram können Angreifer beliebige Datenbankabfragen gegen den Nachrichtenspeicher absetzen und so den Chatverlauf abrufen.
Das Kit fängt das Passwort für die Zwei-Schritt-Verifizierung von Telegram ab, bevor die App es hasht, um einen Anmeldenachweis zu erzeugen. Dadurch liegt das lesbare Passwort offen, obwohl das Konto zusätzlich geschützt ist.
Der Code unterstützt das Zurücksetzen angemeldeter Sitzungen, das Ändern der verknüpften Telefonnummer und das Löschen des Kontos. Weitere Funktionen sollen den Eigentümer ausschließen und den Zugriff des Angreifers erhalten. Dazu gehört, die Sitzung des Angreifers in der Geräteliste der manipulierten App zu verbergen. Die Erkenntnisse belegen nicht, ob diese Sitzung in einer anderen, nicht manipulierten Telegram-App sichtbar bliebe.
Ovi warnte, der Code belege technische Fähigkeiten, nicht aber, dass Angreifer jede Phase einer Kontoübernahme tatsächlich ausgeführt haben.
The Hacker News verglich seine Analyse mit dem Bericht von Doctor Web vom Oktober 2025 über Baohuo, eine Backdoor in manipulierten Telegram-X-Apps. Der Bericht nannte denselben com.ucreator.tgjar-Namensraum, denselben Command-and-Control-Server und übereinstimmende Befehlsnamen. Doctor Web beschrieb außerdem das Verbergen von Sitzungen und gab an, Baohuo habe alle drei Minuten Telefonnummern, Namen und Passwörter der Konten an seinen Server übermittelt.
Doctor Web schätzte zum Zeitpunkt seines Berichts mehr als 58.000 infizierte Geräte. Diese historische Schätzung ist keine aktuelle Opferzahl für uCreator. Ob die Entwickler des Kits oder ein Kunde Kampagne betrieben hat, die Doctor Web verfolgte, bleibt unklar.
WeChat-Klonen und eine gemietete Steuerungsplattform
Bei WeChat kann uCreator die unveränderte App in einem eigenen Container ausführen. Ovi fand einen Befehl, der die Anmeldeidentität des Kontos extrahiert, sowie Funktionen, die App-Daten komprimieren und hochladen. Mit einem mitgelieferten Anmeldeskript wird das Konto anschließend geklont. Diese Komponente zielt auf den Kontozugriff und nicht auf den Chatverlauf.
Ovi und der Forscher Jurre entdeckten außerdem Back-End-Code auf einem selbst gehosteten GitLab-Server. Anders als andere Teile der Infrastruktur war dieser Server nicht auf freigegebene IP-Adressen beschränkt.
Der Code beschreibt eine Cloud-Konsole, die an Händler und Wiederverkäufer vermietet wird. Die Befehle enthalten eine Kundenkennung, mit der Kunden ihre zugewiesenen Geräte auf ausgewählte Opfer richten können. Das System steuert sowohl die Telefone der Opfer als auch eine vom Betreiber kontrollierte Telefonfarm. Dazu gehören Funktionen zum Abfangen von Anmeldebestätigungen, zum massenhaften Hinzufügen von Kontakten, zum Sammeln von Kontakt- und Profildaten sowie zum Sichern von Konten.
Ein Scheduler legt Betriebszeiträume, zufällig variierte Tageslimits und Budgets pro Konto fest. Sie sollen die Aktivität wie menschliche Nutzung aussehen lassen und Risikoprüfungen der Plattformen umgehen. Das offengelegte Back-End betraf private WeChat- und WeCom-Konten. Nach Ovis Angaben schien es Telegram nicht abzudecken. Nur einer von mehreren GitLab-Servern war exponiert.
Reichweite und Kompatibilität bleiben unklar
Ovi griff auf einen Befehlsserver zu, der Daten enthielt, die offenbar zu Opfern in China und den USA gehören. Für eine verlässliche Zählung reichten die Informationen jedoch nicht. Er fand Support-Code für rund 20 Apps, darunter Messaging- und mobile Bezahldienste, veröffentlichte jedoch nur Code für Telegram und WeChat. Dass Nutzer in China und Südostasien gezielt angegriffen werden, ist nicht bestätigt.
Ein Kompatibilitätstest begrenzt außerdem die Aussagekraft über aktuelle Geräte. Auf einem Pixel 10 Pro mit Android 17 konnte die Hooking-Engine des Kits, die App-Funktionen abfängt, eine interne Android-Funktion nicht finden, die sie benötigte. Frida konnte auf diesem Telefon dennoch ein vergleichbares Hooking durchführen. Ovi wertete das Ergebnis deshalb als zusätzlichen Entwicklungsaufwand für die Betreiber und nicht als Beleg dafür, dass Android 17 den Angriff verhindert.
Die neueste untersuchte Probe vom 29. Juli 2026 verwendete noch die alte Engine. Er fand Proben für Android 16, gab aber nicht an, diese Version getestet zu haben. Außerdem hatte er keine Telefone chinesischer Hersteller geprüft.
Ovi brachte Teile der Operation anhand von Website-, Zertifikats-, Registrierungs- und Software-Signaturdaten mit drei Unternehmen in der chinesischen Provinz Hunan in Verbindung. Eine gemeinsame Eigentümerschaft hielt er für plausibel, aber nicht belegt. Die Macher nennen das Produkt YingGai. Aufzeichnungen zur Produktlinie reichen bis September 2021 zurück.
Auf Geräten nannte Ovi als nützliche Spuren TgJarPine.dex in den Assets einiger manipulierter Telegram-Apps sowie eine Kopie der Originalanwendung unter cache/lspatch/origin/*.apk. Letztere wird vom legitimen Patch-Werkzeug LSPatch erstellt und kann auch bei Apps auftreten, die aus anderen Gründen verändert wurden. Ihr Vorhandensein allein belegt daher keine uCreator-Infektion.
