一种名为 uCreator 的中国间谍软件套件隐藏在重新打包的 Telegram、微信和 GCash 应用程序中。
研究人员 Ovi 发现，在 Telegram 中，它可以读取聊天记录并以明文形式获取 2FA 密码。
通过篡改 APK 或虚拟容器传播
据分析，uCreator 主要通过两种方式感染设备：一是篡改 Telegram、GCash 等应用的安装包，并在其中植入 LSPatch、Pine 等挂钩组件；二是利用名为 Onion Box（“洋葱盒子”）的容器程序，在虚拟化环境中启动微信，无需直接篡改微信安装包。
研究人员称，这类应用通过非官方渠道传播，用户通常需要自行下载并侧载安装。Google Play、App Store 等正规应用商店并非其已知传播渠道。
可窃取账号信息并模拟用户操作
不同应用模块具备不同功能。针对 Telegram，恶意程序可以读取本地聊天数据库、获取二次验证密码，并劫持用户会话；针对微信，功能侧重于账号克隆、会话接管、联系人收集及模拟日常操作；针对 GCash 等东南亚钱包，则可能窃取支付相关信息。
报告还提到，该工具具备伪造摄像头画面的能力，可用于绕过部分人脸核验或活体检测流程，且不要求手机取得 root 权限。
研究人员发现，uCreator 配有多租户管理后台，不同付费客户可以分别管理受害设备集群，并使用批量养号、定时操作等功能模拟真人行为。报告称，攻击者的一台自托管 GitLab 服务器未设置 IP 白名单，导致后端源码暴露；代码提交记录显示，约有 36 名开发者参与项目，相关时区信息显示为中国时区。
报告提及的基础设施溯源线索指向湖南的几家企业，但研究人员强调，这些线索并不能直接证明相关企业就是幕后运营主体，也不能据此认定存在国家层面的情报活动。
研究人员称与 Baohuo 后门工具链相似
2025 年，Doctor Web 曾报告一款藏匿于篡改版 Telegram X 中的 Baohuo 后门，估计约有 5.8 万台设备受到影响。此次分析发现，uCreator 的 Telegram 模块在命名空间、命令名称及 C2 地址等方面与 Baohuo 高度重合。研究人员据此认为，两者属于同源工具链。
专家提醒：避免安装非官方 APK
研究人员提醒，用户不要从陌生网站、Telegram 群组或网盘下载所谓“汉化版”“增强版”Telegram、微信或 GCa...