uCreator продают как готовый Android-инструмент для шпионажа за приложениями сообщений и мобильными кошельками. По анализу исследователя Ovi, его код встраивают в поддельные копии Telegram и WeChat либо запускают WeChat внутри контейнера создателей набора — 洋葱盒子, «Луковой коробки». Заражение происходит, когда человек устанавливает приложение не из официального магазина или пользуется WeChat внутри этого контейнера. Код умеет похищать пароль двухэтапной проверки Telegram, менять настройки аккаунта и клонировать WeChat. Но наличие таких функций ещё не доказывает, что злоумышленники провели каждую операцию против реальных жертв.
Телеграм-модуль uCreator совпадает с бэкдором Baohuo, о котором Doctor Web сообщила в октябре 2025 года. Тогда специалисты нашли его в изменённых версиях Telegram X и оценили число заражённых устройств более чем в 58 тысяч. The Hacker News сопоставила оба исследования: совпали пространство имён
Поддельные приложения распространяли через сторонние сайты и социальную инженерию. Doctor Web проследила распространение Baohuo с середины 2024 года: реклама внутри приложений вела на фальшивые магазины, где Telegram X предлагали как сервис знакомств и видеочатов. Баннеры на португальском были рассчитаны на Бразилию, на индонезийском — на Индонезию. Однако в карте заражений за 2025 год впереди оказалась Индия с 22,8%; далее шли Бразилия с 20,5% и Индонезия с 9,6%. Копии обнаружили также в APKPure, ApkSum и AndroidP. Одна версия на APKPure размещалась под именем настоящего разработчика, но имела другую цифровую подпись. Некоторые подделки Telegram X используют то же имя пакета, что и приложение из Google Play, поэтому по одному этому признаку их не распознать.
Ovi получил доступ к одному из серверов управления набора и увидел данные пользователей, предположительно находившихся в Китае и США. Этой информации недостаточно для подсчёта жертв. Он описал работу как «анализ технических возможностей, а не оценку числа пострадавших». Вероятными, но не подтверждёнными целями считает пользователей кошельков и мессенджеров в Китае и Юго-Восточной Азии. В коде есть поддержка примерно 20 приложений; опубликованы подробности по Telegram и WeChat. Среди остальных возможных целей названы WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash и MoMo.
Механизм перехвата uCreator внедряется в работу приложения. Ovi проверил его на Pixel 10 Pro с Android 17: движок не нашёл внутреннюю функцию Android, на которую полагался, потому что в новых версиях системы она изменилась. Но Frida на том же телефоне продолжала перехватывать вызовы. Поэтому речь идёт о дополнительной работе для создателей набора, а не о доказанной блокировке атаки Android 17. Самый новый изученный образец датирован 29 июля 2026 года и всё ещё содержал старый движок. Ovi также обнаружил сборки для Android 16, но не сообщил об их проверке; телефоны китайских производителей он не тестировал.
В изменённом Telegram код запускается вместе с приложением и работает с его идентификатором и разрешениями. Внутри каждой копии действует локальный сервер команд, а модули для конкретных приложений загружаются уже после установки: сам установочный файл из-за этого сложнее изучать. Злоумышленник может отправлять запросы к базе сообщений и получать историю переписки. Когда пользователь вводит пароль двухэтапной проверки Telegram, код копирует его в читаемом виде до хеширования. С этим паролем можно сбросить активные сеансы, сменить привязанный номер или удалить аккаунт. Другие функции рассчитаны на то, чтобы заблокировать владельцу доступ, оставив сеанс атакующего активным, а затем скрыть его в списке устройств внутри изменённого приложения.
Описание Baohuo от Doctor Web также сообщает о сокрытии устройства. По данным компании, бэкдор каждые три минуты отправляет серверу номер телефона, имя и пароль аккаунта. Не Ovi, не Doctor Web не уточнили, остаётся ли скрытая сессия видимой в других, незаражённых приложениях Telegram, и не опубликовали порядок восстановления захваченного аккаунта. Вредоносные программы уже запускали настоящие приложения вместе с посторонним кодом: FjordPhantom применял виртуализацию против банковских приложений в 2023 году, а банковский троян GodFather — в 2025-м. Отличие uCreator, по словам Ovi, в том, что его продают как продукт: клиент может удалённо управлять атакой на любое приложение, для которого создатели подготовили модуль.
С WeChat набор работает иначе: запускает неизменённое приложение внутри собственного контейнера, копирует идентификатор входа, архивирует данные и передаёт их на сервер. В комплекте есть скрипт для клонирования аккаунта; здесь целью становится сам аккаунт, а не только история сообщений. Ovi и исследователь Jurre нашли серверную часть на самостоятельно размещённом GitLab. Это была единственная часть инфраструктуры, не закрытая доступом по разрешённым IP-адресам. Код описывает облачную консоль для торговцев и посредников: каждая команда содержит ID клиента, поэтому тот может направлять свою часть парка устройств на выбранные цели.
Команды поступают и на телефоны так называемой телефонной фермы, контролируемой операторами, и на устройства жертв. Их используют для перехвата подтверждений входа, массового добавления друзей, сбора контактов и данных профиля, а также резервного копирования аккаунтов. Планировщик задаёт временные окна, случайные дневные лимиты и бюджет действий для каждого аккаунта, чтобы поведение выглядело привычным и проходило проверки платформ. В коде этот процесс назван «выращиванием аккаунта». В истории GitLab видны около трёх десятков разработчиков, работавших по китайскому времени; некоторые вносили изменения в октябре 2026 года. Утечка охватывала личные аккаунты WeChat и WeCom, но, по оценке Ovi, не Telegram; открытым оказался лишь один из нескольких серверов GitLab.
Название продукта, которым пользуются его создатели, — YingGai; записи о линейке встречаются с сентября 2021 года. Изученные Ovi образцы датируются периодом с 2024-го по июль 2026-го. Он связывает отдельные части операции с тремя компаниями в китайской провинции Хунань: одна связана с сайтом бренда и сертификатом сервера, другая — с регистрацией командного сервера на государственном сайте, третья — с подписью Windows-программы управления. Общий владелец «возможен, но не доказан». По ориентации на кошельки и одноразовые коды Ovi предполагает финансовую мотивацию. Doctor Web описывала Baohuo иначе — как «инструмент для увеличения числа подписчиков в каналах Telegram».
Для поиска на устройстве Ovi выделяет два следа: файл
Контрольные суммы SHA-256
Изображение носит иллюстративный характер
Телеграм-модуль uCreator совпадает с бэкдором Baohuo, о котором Doctor Web сообщила в октябре 2025 года. Тогда специалисты нашли его в изменённых версиях Telegram X и оценили число заражённых устройств более чем в 58 тысяч. The Hacker News сопоставила оба исследования: совпали пространство имён
com.ucreator.tgjar, сервер управления и командные названия. Ovi опубликовал анализ 21 октября 2026 года, но не упомянул выводы Doctor Web; сама Doctor Web не назвала uCreator. Кто именно проводил обнаруженную кампанию — создатели набора или один из их клиентов — остаётся неизвестным. Поддельные приложения распространяли через сторонние сайты и социальную инженерию. Doctor Web проследила распространение Baohuo с середины 2024 года: реклама внутри приложений вела на фальшивые магазины, где Telegram X предлагали как сервис знакомств и видеочатов. Баннеры на португальском были рассчитаны на Бразилию, на индонезийском — на Индонезию. Однако в карте заражений за 2025 год впереди оказалась Индия с 22,8%; далее шли Бразилия с 20,5% и Индонезия с 9,6%. Копии обнаружили также в APKPure, ApkSum и AndroidP. Одна версия на APKPure размещалась под именем настоящего разработчика, но имела другую цифровую подпись. Некоторые подделки Telegram X используют то же имя пакета, что и приложение из Google Play, поэтому по одному этому признаку их не распознать.
Ovi получил доступ к одному из серверов управления набора и увидел данные пользователей, предположительно находившихся в Китае и США. Этой информации недостаточно для подсчёта жертв. Он описал работу как «анализ технических возможностей, а не оценку числа пострадавших». Вероятными, но не подтверждёнными целями считает пользователей кошельков и мессенджеров в Китае и Юго-Восточной Азии. В коде есть поддержка примерно 20 приложений; опубликованы подробности по Telegram и WeChat. Среди остальных возможных целей названы WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash и MoMo.
Механизм перехвата uCreator внедряется в работу приложения. Ovi проверил его на Pixel 10 Pro с Android 17: движок не нашёл внутреннюю функцию Android, на которую полагался, потому что в новых версиях системы она изменилась. Но Frida на том же телефоне продолжала перехватывать вызовы. Поэтому речь идёт о дополнительной работе для создателей набора, а не о доказанной блокировке атаки Android 17. Самый новый изученный образец датирован 29 июля 2026 года и всё ещё содержал старый движок. Ovi также обнаружил сборки для Android 16, но не сообщил об их проверке; телефоны китайских производителей он не тестировал.
В изменённом Telegram код запускается вместе с приложением и работает с его идентификатором и разрешениями. Внутри каждой копии действует локальный сервер команд, а модули для конкретных приложений загружаются уже после установки: сам установочный файл из-за этого сложнее изучать. Злоумышленник может отправлять запросы к базе сообщений и получать историю переписки. Когда пользователь вводит пароль двухэтапной проверки Telegram, код копирует его в читаемом виде до хеширования. С этим паролем можно сбросить активные сеансы, сменить привязанный номер или удалить аккаунт. Другие функции рассчитаны на то, чтобы заблокировать владельцу доступ, оставив сеанс атакующего активным, а затем скрыть его в списке устройств внутри изменённого приложения.
Описание Baohuo от Doctor Web также сообщает о сокрытии устройства. По данным компании, бэкдор каждые три минуты отправляет серверу номер телефона, имя и пароль аккаунта. Не Ovi, не Doctor Web не уточнили, остаётся ли скрытая сессия видимой в других, незаражённых приложениях Telegram, и не опубликовали порядок восстановления захваченного аккаунта. Вредоносные программы уже запускали настоящие приложения вместе с посторонним кодом: FjordPhantom применял виртуализацию против банковских приложений в 2023 году, а банковский троян GodFather — в 2025-м. Отличие uCreator, по словам Ovi, в том, что его продают как продукт: клиент может удалённо управлять атакой на любое приложение, для которого создатели подготовили модуль.
С WeChat набор работает иначе: запускает неизменённое приложение внутри собственного контейнера, копирует идентификатор входа, архивирует данные и передаёт их на сервер. В комплекте есть скрипт для клонирования аккаунта; здесь целью становится сам аккаунт, а не только история сообщений. Ovi и исследователь Jurre нашли серверную часть на самостоятельно размещённом GitLab. Это была единственная часть инфраструктуры, не закрытая доступом по разрешённым IP-адресам. Код описывает облачную консоль для торговцев и посредников: каждая команда содержит ID клиента, поэтому тот может направлять свою часть парка устройств на выбранные цели.
Команды поступают и на телефоны так называемой телефонной фермы, контролируемой операторами, и на устройства жертв. Их используют для перехвата подтверждений входа, массового добавления друзей, сбора контактов и данных профиля, а также резервного копирования аккаунтов. Планировщик задаёт временные окна, случайные дневные лимиты и бюджет действий для каждого аккаунта, чтобы поведение выглядело привычным и проходило проверки платформ. В коде этот процесс назван «выращиванием аккаунта». В истории GitLab видны около трёх десятков разработчиков, работавших по китайскому времени; некоторые вносили изменения в октябре 2026 года. Утечка охватывала личные аккаунты WeChat и WeCom, но, по оценке Ovi, не Telegram; открытым оказался лишь один из нескольких серверов GitLab.
Название продукта, которым пользуются его создатели, — YingGai; записи о линейке встречаются с сентября 2021 года. Изученные Ovi образцы датируются периодом с 2024-го по июль 2026-го. Он связывает отдельные части операции с тремя компаниями в китайской провинции Хунань: одна связана с сайтом бренда и сертификатом сервера, другая — с регистрацией командного сервера на государственном сайте, третья — с подписью Windows-программы управления. Общий владелец «возможен, но не доказан». По ориентации на кошельки и одноразовые коды Ovi предполагает финансовую мотивацию. Doctor Web описывала Baohuo иначе — как «инструмент для увеличения числа подписчиков в каналах Telegram».
Для поиска на устройстве Ovi выделяет два следа: файл
TgJarPine.dex в ресурсах некоторых поддельных копий Telegram и исходный APK, который оставляет инструмент патчинга LSPatch, по пути cache/lspatch/origin/.apk. Второй след сам по себе не доказывает заражение: LSPatch применяют и по другим причинам. На 23 октября 2026 года несколько доменов серверов и загрузки уже не разрешались через DNS, но домен загрузки обновлений указывал на 121.37.194[.]194. Контрольные суммы SHA-256
- []
2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 — com.ucreator.tg, каркас и обработчики команд. []
0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 — com.uckj.tgx, загрузчик. []
dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e — org.thunderdog.challegram, изменённый Telegram X, ноябрь 2024 года. []
805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 — org.telegram.messenger.web, изменённый Telegram, июль 2024 года. []
a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 — org.thunderdog.challegram, изменённый Telegram X. []
f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 — com.ucreator.va_vx, контейнер WeChat. []
99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c — com.ucreator.va_yjb_client, Onion Box. []
9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 — uip.exe, программа управления для Windows. - []
hpncallback.gold5play[.]com и hpncallback.qianxunlbs[.]com — серверы управления; 23 октября 2026 года не разрешались. []
telegram-apk.uzyzx[.]com — хост загрузки; на ту же дату не разрешался. []
hw.android.videoflow[.]cn — загрузка версий; 23 октября 2026 года указывал на 121.37.194[.]194. []
159.138.237[.]10:32115 и 159.138.229[.]12:26379 — серверы Redis. []
r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 — сервер Redis, связанный с частью WeChat. []
43.225.141[.]209 — ретранслятор Telegram-модуля. []
kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ — загрузка модулей перехвата. 
