Un kit d'espionnage Android commercialisé, appelé uCreator, peut prendre le contrôle de comptes Telegram et WeChat par le biais d'applications modifiées ou d'un conteneur d'application contrôlé par l'attaquant, selon le chercheur Ovi. Son analyse, publiée le 21 octobre 2026, décrit des capacités de capture d'identifiants de connexion, de récupération de messages Telegram et de clonage de comptes WeChat, sans établir combien de personnes ont été touchées.
Les scénarios documentés supposent que l'utilisateur installe une application falsifiée distribuée hors des magasins officiels, ou qu'il utilise WeChat à l'intérieur du conteneur des créateurs du kit, 洋葱盒子 (« Onion Box »). Ovi a relevé des indices de chargement latéral (sideloading, c'est-à-dire l'installation directe de fichiers d'application) et d'ingénierie sociale, sans pouvoir établir comment chaque victime a été infectée.
Certaines copies modifiées de Telegram X conservent le nom de package de l'application légitime, ce qui rend cet identifiant insuffisant pour les distinguer. Le logiciel espion s'exécute à l'intérieur de l'application de messagerie, avec son identité et ses autorisations, et dispose donc de l'accès accordé à l'application connectée.
Identifiants Telegram et contrôles de compte
Ovi a constaté que le kit télécharge, après l'installation, le code propre à chaque application ciblée, ce qui rend le programme d'installation seul moins révélateur. Chaque application modifiée héberge aussi un serveur de commandes local. Dans Telegram, les attaquants peuvent exécuter des requêtes arbitraires sur la base de données des messages afin de récupérer l'historique des conversations.
Le kit intercepte le mot de passe de la validation en deux étapes de Telegram avant que l'application ne le hache pour générer une preuve de connexion. Le mot de passe en clair est ainsi exposé, malgré la protection d'authentification supplémentaire du compte.
Le code permet de réinitialiser les sessions ouvertes, de modifier le numéro de téléphone associé et de supprimer le compte. D'autres fonctions sont conçues pour exclure le propriétaire tout en préservant l'accès de l'attaquant, notamment en masquant la session de l'attaquant dans la liste des appareils affichée par l'application modifiée. Les résultats n'établissent pas si cette session resterait visible dans une autre application Telegram non modifiée.
Ovi a toutefois averti que le code démontre une capacité technique, et non la preuve que les attaquants ont exécuté toutes les étapes d'une prise de contrôle de compte.
The Hacker News a comparé son analyse au rapport de Doctor Web d'octobre 2025 sur Baohuo, une porte dérobée découverte dans des applications Telegram X modifiées. Le média a relevé le même espace de noms com.ucreator.tgjar, le même serveur de commande et contrôle et des noms de commandes identiques. Doctor Web a également décrit la dissimulation de session et affirmé que Baohuo envoyait à son serveur, toutes les trois minutes, les numéros de téléphone, les noms et les mots de passe des comptes.
Doctor Web estimait à plus de 58 000 le nombre d'appareils infectés au moment de son rapport. Cette estimation ancienne ne constitue pas un décompte actuel des victimes d'uCreator. On ignore encore si les développeurs du kit ou un client ont mené la campagne suivie par Doctor Web.
Clonage WeChat et plateforme de contrôle louée
Pour WeChat, uCreator peut faire fonctionner l'application non modifiée dans son propre conteneur. Ovi a trouvé une commande qui extrait l'identité de connexion du compte, suivie de fonctions qui compressent et envoient les données de l'application, puis utilisent un script de connexion intégré pour cloner le compte. Ce composant vise l'accès au compte plutôt que l'historique des conversations.
Ovi et le chercheur Jurre ont également découvert du code back-end sur un serveur GitLab auto-hébergé qui, contrairement à d'autres parties de l'infrastructure, n'était pas limité à des adresses IP approuvées.
Le code décrit une console cloud louée à des commerçants et revendeurs. Les commandes incluent un identifiant client, qui permet aux clients de diriger leurs appareils attribués vers des victimes choisies. Le système contrôle à la fois les téléphones des victimes et une ferme de téléphones gérée par l'opérateur, avec des fonctions de capture des autorisations de connexion, d'ajout massif d'amis, de collecte d'informations de contact et de profil, et de sauvegarde des comptes.
Un planificateur attribue des plages d'exploitation, des limites quotidiennes aléatoires et des budgets par compte destinés à faire ressembler l'activité à un usage humain et à éviter les contrôles de risque des plateformes. Le back-end exposé couvrait les comptes WeChat personnels et WeCom ; selon Ovi, il ne semblait pas couvrir Telegram. Un seul des plusieurs serveurs GitLab était exposé.
Portée et compatibilité restent incertaines
Ovi a accédé à un serveur de commandes contenant des données apparemment associées à des victimes en Chine et aux États-Unis, mais pas assez d'informations pour établir un décompte fiable. Il a trouvé du code de prise en charge d'environ 20 applications, dont des services de messagerie et de portefeuille mobile, alors qu'il n'a publié que le code de Telegram et de WeChat. Le ciblage apparent d'utilisateurs en Chine et en Asie du Sud-Est reste non confirmé.
Un test de compatibilité limite aussi les conclusions sur les appareils actuels. Sur un Pixel 10 Pro fonctionnant sous Android 17, le moteur de hooking du kit, qui intercepte les fonctions des applications, n'a pas réussi à localiser une fonction interne d'Android dont il avait besoin. Frida pouvait néanmoins réaliser un hooking comparable sur ce téléphone. Ovi a donc qualifié ce résultat de travail de développement supplémentaire pour les opérateurs, et non de preuve qu'Android 17 empêche l'attaque.
L'échantillon le plus récent qu'il a examiné, daté du 29 juillet 2026, conservait l'ancien moteur. Il a récupéré des échantillons compilés pour Android 16, sans indiquer avoir testé cette version, et n'avait pas testé de téléphones de fabricants chinois.
Ovi a relié certains éléments de l'opération à trois entreprises de la province du Hunan, en Chine, grâce aux enregistrements de sites web, de certificats, de dépôts administratifs et de signatures logicielles. Il a jugé plausible, sans pouvoir le prouver, une propriété commune. Les créateurs appellent le produit YingGai, et des traces de la gamme remontent à septembre 2021.
Sur les appareils, Ovi a identifié TgJarPine.dex dans les ressources de certaines applications Telegram modifiées, ainsi qu'une copie d'application d'origine à cache/lspatch/origin/*.apk, qu'il considère comme des indices utiles. Ce dernier fichier est créé par l'outil de patch légitime LSPatch et peut aussi apparaître dans des applications modifiées à d'autres fins. Sa seule présence n'établit donc pas une infection par uCreator.
