Un kit de spyware para Android que se alquila, llamado uCreator, puede tomar el control de cuentas de Telegram y WeChat mediante aplicaciones modificadas o un contenedor de aplicación controlado por el atacante, según el investigador Ovi. Su análisis, publicado el 21 de octubre de 2026, describe capacidades para capturar credenciales de inicio de sesión, recuperar mensajes de Telegram y clonar cuentas de WeChat, pero no establece cuántas personas se han visto afectadas.
Las vías documentadas exigen que los usuarios instalen una aplicación manipulada distribuida fuera de las tiendas oficiales o que ejecuten WeChat dentro del contenedor de los creadores del kit, 洋葱盒子 («Caja de cebolla»). Ovi encontró indicios de sideloading (instalación directa de archivos de aplicación) e ingeniería social, aunque no pudo establecer cómo se infectó cada víctima.
Algunas copias modificadas de Telegram X conservan el nombre de paquete de la aplicación legítima, por lo que ese identificador no basta para distinguirlas. El spyware se ejecuta dentro de la aplicación de mensajería con su identidad y sus permisos, lo que le da acceso a lo que tiene disponible la aplicación con la sesión iniciada.
Credenciales de Telegram y control de cuentas
Ovi descubrió que el kit descarga código para aplicaciones objetivo individuales después de la instalación, por lo que el instalador por sí solo revela menos. Cada aplicación manipulada también aloja un servidor de comandos local. En Telegram, los atacantes pueden enviar consultas arbitrarias a la base de datos de mensajes para recuperar el historial de chats.
El kit intercepta la contraseña de verificación en dos pasos de Telegram antes de que la aplicación la convierta en hash para generar una prueba de inicio de sesión. Así queda expuesta la contraseña en texto legible, pese a la protección adicional de autenticación de la cuenta.
El código permite restablecer las sesiones iniciadas, cambiar el número de teléfono vinculado y eliminar la cuenta. Otras funciones están diseñadas para excluir al propietario manteniendo el acceso del atacante, incluida la ocultación de la sesión del atacante en la lista de dispositivos que muestra la aplicación modificada. Los hallazgos no establecen si esa sesión seguiría siendo visible en otra aplicación de Telegram no manipulada.
Ovi advirtió de que el código demuestra una capacidad técnica, pero no prueba que los atacantes hayan ejecutado todas las fases de una toma de control de cuenta.
The Hacker News comparó su análisis con el informe de Doctor Web de octubre de 2025 sobre Baohuo, una puerta trasera encontrada en aplicaciones modificadas de Telegram X. Identificó el mismo espacio de nombres com.ucreator.tgjar, el mismo servidor de mando y control y nombres de comandos coincidentes. Doctor Web también describió la ocultación de sesiones y afirmó que Baohuo enviaba a su servidor los números de teléfono, nombres y contraseñas de las cuentas cada tres minutos.
Doctor Web calculó más de 58.000 dispositivos infectados en el momento de su informe. Esa estimación histórica no es un recuento actual de víctimas de uCreator. No está claro si la campaña que siguió Doctor Web fue operada por los desarrolladores del kit o por un cliente.
Clonación de WeChat y una plataforma de control alquilada
En el caso de WeChat, uCreator puede ejecutar la aplicación sin modificar dentro de su propio contenedor. Ovi encontró un comando que extrae la identidad de inicio de sesión de la cuenta, seguido de funciones que comprimen y suben los datos de la aplicación y usan un script de inicio de sesión incluido para clonar la cuenta. Este componente apunta al acceso a la cuenta y no al historial de chats.
Ovi y el investigador Jurre también descubrieron código de backend en un servidor GitLab autoalojado que, a diferencia de otras partes de la infraestructura, no estaba restringido a direcciones IP aprobadas.
El código describe una consola en la nube alquilada a comerciantes y revendedores. Los comandos incluyen un identificador de cliente, que permite a los clientes dirigir los dispositivos asignados a víctimas seleccionadas. El sistema controla tanto los teléfonos de las víctimas como una granja de teléfonos controlada por el operador, con funciones para capturar autorizaciones de inicio de sesión, añadir contactos en masa, recopilar información de contactos y perfiles, y hacer copias de seguridad de las cuentas.
Un planificador asigna franjas horarias de operación, límites diarios aleatorios y presupuestos por cuenta destinados a que la actividad parezca un uso humano y a eludir los controles de riesgo de la plataforma. El backend expuesto abarcaba cuentas personales de WeChat y WeCom; Ovi dijo que no parecía incluir Telegram. Solo estaba expuesto uno de varios servidores GitLab.
El alcance y la compatibilidad siguen siendo inciertos
Ovi accedió a un servidor de comandos que contenía datos aparentemente asociados a víctimas en China y Estados Unidos, pero información insuficiente para hacer un recuento fiable. Encontró código de soporte para unas 20 aplicaciones, incluidos servicios de mensajería y monederos móviles, aunque al publicar solo código para Telegram y WeChat. El aparente objetivo de usuarios en China y el sudeste asiático sigue sin confirmarse.
Una prueba de compatibilidad también limita lo que puede concluirse sobre los dispositivos actuales. En un Pixel 10 Pro con Android 17, el motor de hooking del kit (que intercepta funciones de las aplicaciones) no logró localizar una función interna de Android que necesitaba. Frida todavía podía realizar un hooking comparable en ese teléfono, por lo que Ovi calificó el resultado como trabajo de desarrollo adicional para los operadores, y no como una prueba de que Android 17 impida el ataque.
La muestra más reciente que examinó, fechada el 29 de julio de 2026, conservaba el motor antiguo. Recuperó muestras compiladas para Android 16, pero no informó de haber probado esa versión, y no había probado teléfonos de fabricantes chinos.
Ovi vinculó partes de la operación con tres empresas de la provincia china de Hunan, a través de registros de sitios web, certificados, registros de inscripción y firmas de software. Describió la propiedad compartida como plausible, pero no demostrada. Los creadores llaman al producto YingGai, y hay registros de la línea de productos que se remontan a septiembre de 2021.
En los dispositivos, Ovi identificó TgJarPine.dex en los recursos de algunas aplicaciones de Telegram modificadas y una copia original de la aplicación en cache/lspatch/origin/*.apk como rastros útiles. Esta última la crea la herramienta legítima de parcheo LSPatch y también puede aparecer en aplicaciones modificadas con otros fines, por lo que su sola presencia no establece una infección por uCreator.
