Uno spyware Android a noleggio chiamato uCreator può prendere il controllo degli account Telegram e WeChat tramite app modificate o un contenitore di app controllato dall'attaccante, secondo il ricercatore Ovi. La sua analisi, pubblicata il 21 ottobre 2026, descrive funzionalità per catturare le credenziali di accesso, recuperare i messaggi di Telegram e clonare gli account WeChat, ma non stabilisce quante persone siano state colpite.
I percorsi documentati richiedono che gli utenti installino un'app manomessa distribuita al di fuori degli store ufficiali, oppure che eseguano WeChat all'interno del contenitore dei creatori del kit, «洋葱盒子» («Onion Box»). Ovi ha trovato prove di sideloading (installazione diretta dei file dell'app) e di ingegneria sociale, anche se non è riuscito a stabilire come sia stata infettata ogni vittima.
Alcune copie modificate di Telegram X conservano il nome di pacchetto dell'app legittima, il che rende questo identificativo insufficiente a distinguerle. Lo spyware viene eseguito all'interno dell'app di messaggistica, con la sua identità e i suoi permessi, e quindi ha accesso a tutto ciò che è disponibile all'applicazione con l'utente connesso.
Credenziali Telegram e controlli dell'account
Ovi ha scoperto che il kit scarica il codice per le singole app bersaglio dopo l'installazione, il che rende meno indicativo il solo installatore. Ogni app manomessa ospita anche un server di comando locale. In Telegram, gli attaccanti possono eseguire query arbitrarie sul database contro l'archivio dei messaggi per recuperare la cronologia delle chat.
Il kit intercetta la password di verifica in due passaggi di Telegram prima che l'app la sottoponga ad hash per generare una prova di accesso. Ciò espone la password in chiaro, nonostante la protezione di autenticazione aggiuntiva dell'account.
Il codice supporta il ripristino delle sessioni attive, la modifica del numero di telefono collegato e l'eliminazione dell'account. Altre funzioni sono progettate per escludere il proprietario mantenendo l'accesso per l'attaccante, incluso l'occultamento della sessione dell'attaccante nell'elenco dei dispositivi mostrato dall'app modificata. I risultati non stabiliscono se quella sessione resterebbe visibile in un'altra app Telegram non manomessa.
Ovi ha avvertito che il codice dimostra una capacità tecnica, non la prova che gli attaccanti abbiano eseguito ogni fase di una presa di controllo dell'account.
The Hacker News ha confrontato la sua analisi con il rapporto di Doctor Web dell'ottobre 2025 su Baohuo, una backdoor trovata in app Telegram X modificate. Ha individuato lo stesso namespace com.ucreator.tgjar, lo stesso server di comando e controllo e nomi di comandi corrispondenti. Doctor Web ha inoltre descritto l'occultamento delle sessioni e ha affermato che Baohuo inviava al proprio server numeri di telefono, nomi e password degli account ogni tre minuti.
Al momento del rapporto, Doctor Web stimava oltre 58.000 dispositivi infetti. Si tratta di una stima storica, non di un conteggio attuale delle vittime di uCreator. Non è chiaro se a gestire la campagna tracciata da Doctor Web siano stati gli sviluppatori del kit o un cliente.
Clonazione di WeChat e una piattaforma di controllo in affitto
Per WeChat, uCreator può eseguire l'app invariata all'interno del proprio contenitore. Ovi ha trovato un comando che estrae l'identità di accesso dell'account, seguito da funzioni che comprimono e caricano i dati dell'app e che usano uno script di accesso incluso per clonare l'account. Questo componente punta all'accesso agli account, non alla cronologia delle chat.
Ovi e il ricercatore Jurre hanno inoltre scoperto codice back end su un server GitLab self-hosted che, a differenza di altre parti dell'infrastruttura, non era limitato a indirizzi IP approvati.
Il codice descrive una console cloud noleggiata a commercianti e rivenditori. I comandi includono un identificativo del cliente, che consente ai clienti di indirizzare i dispositivi assegnati verso vittime selezionate. Il sistema controlla sia i telefoni delle vittime sia una phone farm gestita dall'operatore, con funzioni per catturare le autorizzazioni di accesso, aggiungere amici in blocco, raccogliere informazioni su contatti e profili e creare backup degli account.
Uno scheduler assegna finestre operative, limiti giornalieri casuali e budget per account, pensati per far sembrare l'attività un uso umano ed eludere i controlli di rischio della piattaforma. Il back end esposto copriva gli account personali di WeChat e WeCom; secondo Ovi, non sembrava coprire Telegram. Era esposto solo uno dei diversi server GitLab.
Portata e compatibilità restano incerte
Ovi ha avuto accesso a un server di comando contenente dati apparentemente associati a vittime in Cina e Stati Uniti, ma informazioni insufficienti per un conteggio affidabile. Ha trovato codice di supporto per circa venti app, tra cui servizi di messaggistica e portafogli mobili, mentre ha pubblicato codice solo per Telegram e WeChat. Il presunto puntamento verso utenti in Cina e Asia sudorientale resta non confermato.
Anche un test di compatibilità limita ciò che si può concludere sui dispositivi attuali. Su un Pixel 10 Pro con Android 17, il motore di hooking del kit, che intercetta le funzioni delle app, non è riuscito a localizzare una funzione interna di Android di cui aveva bisogno. Frida poteva comunque eseguire un hooking comparabile su quel telefono, quindi Ovi ha descritto il risultato come lavoro di sviluppo aggiuntivo per gli operatori, non come prova che Android 17 impedisca l'attacco.
Il campione più recente che ha esaminato, datato 29 luglio 2026, conservava il vecchio motore. Ha recuperato campioni compilati per Android 16, ma non ha riferito di aver testato quella versione, e non aveva testato telefoni di produttori cinesi.
Ovi ha collegato parti dell'operazione a tre aziende nella provincia cinese dello Hunan, attraverso registrazioni di siti web, certificati, pratiche di registrazione e firme dei software. Ha descritto la proprietà condivisa come plausibile ma non dimostrata. I creatori chiamano il prodotto YingGai; le registrazioni della linea di prodotti risalgono a settembre 2021.
Sui dispositivi, Ovi ha individuato TgJarPine.dex negli asset di alcune app Telegram modificate e una copia originale dell'app in cache/lspatch/origin/*.apk, come tracce utili. Quest'ultima è creata dallo strumento di patching legittimo LSPatch e può comparire anche in app modificate per altri scopi, quindi la sola presenza non stabilisce un'infezione da uCreator.
