Um kit de spyware para Android chamado uCreator assume o controle de contas do Telegram e do WeChat ao ocultar seu código em cópias funcionais dos dois aplicativos, segundo o pesquisador Ovi. Ele só alcança pessoas que instalam uma dessas cópias adulteradas, que circulam fora das lojas oficiais de aplicativos, ou que usam o WeChat dentro do aplicativo contêiner dos próprios criadores do kit.
A parte do Telegram no kit corresponde ao Baohuo, uma backdoor (porta dos fundos, acesso oculto ao sistema) que a Doctor Web relatou em outubro de 2025. A Doctor Web encontrou o Baohuo em cópias adulteradas do Telegram X, um aplicativo Android do Telegram. Na época, a empresa estimou que mais de 58 mil dispositivos haviam sido infectados.
O The Hacker News comparou os dois relatórios. A descrição técnica do Baohuo feita pela Doctor Web lista o mesmo namespace de código, com.ucreator.tgjar, o mesmo servidor de comando e controle (C2) e nomes de comandos correspondentes aos da análise de Ovi.
A análise de Ovi, publicada em 21 de outubro de 2026, não menciona as descobertas da Doctor Web, e a Doctor Web não identificou o kit pelo nome. Não está claro se os criadores do kit ou um de seus clientes conduziram a campanha monitorada pela Doctor Web.
Quem está exposto
As cópias adulteradas se espalham por sideloading, quando a pessoa instala diretamente um arquivo de aplicativo, sem passar por uma loja, e por engenharia social, segundo Ovi. Ele não conseguiu confirmar como todas as vítimas foram infectadas.
Uma segunda via é o aplicativo contêiner dos próprios criadores do kit, chamado Onion Box, que executa outros aplicativos dentro de si.
Algumas cópias adulteradas do Telegram X usam o mesmo nome de pacote do aplicativo real na Google Play, por isso o nome sozinho não as denuncia.
A Doctor Web identificou que cópias do Baohuo vinham se espalhando desde meados de 2024 por meio de anúncios dentro de aplicativos, que levavam a sites falsos de lojas de aplicativos. Esses sites promoviam o Telegram X como um aplicativo de encontros e videochamadas.
Os banners desses sites estavam disponíveis apenas em português, para usuários no Brasil, e em indonésio. Mesmo assim, o mapa de dispositivos infectados por país da Doctor Web, de 2025, colocou a Índia em primeiro lugar, com 22,8%, à frente do Brasil, com 20,5%, e da Indonésia, com 9,6%.
Cópias do Baohuo também apareceram em lojas de terceiros, como APKPure, ApkSum e AndroidP. No APKPure, uma delas estava listada em nome do desenvolvedor oficial, embora sua assinatura digital fosse diferente.
Ovi teve acesso a um dos servidores de comando do kit. Ele continha dados de vítimas aparentemente localizadas na China e nos Estados Unidos, mas não o suficiente para uma contagem confiável. Ele descreve seu relatório como “uma análise de capacidade técnica, não uma medição do impacto nas vítimas”.
Os alvos aparentes, ainda não confirmados, são usuários de carteiras digitais e aplicativos de mensagens na China e no Sudeste Asiático, incluindo WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash e MoMo. Ele encontrou código de suporte a cerca de 20 aplicativos, mas publicou código apenas para Telegram e WeChat.
O mecanismo de hooking (interceptação de funções) do kit é a parte que permite ao seu código interceptar as funções de um aplicativo. Ovi testou esse mecanismo em um Pixel 10 Pro com Android 17. O kit não conseguiu encontrar uma função interna do Android da qual depende, porque versões mais recentes do sistema alteraram essa função.
Outra ferramenta, o Frida, ainda conseguia fazer hooking nos aplicativos da mesma forma nesse celular. Por isso, Ovi descreve o caso como um trabalho extra para os criadores do kit, e não como prova de que o Android 17 bloqueia o ataque.
A amostra mais recente, datada de 29 de julho de 2026, ainda trazia o mecanismo antigo. Ele recuperou amostras compiladas para Android 16, mas não relatou ter testado essa versão. Também não testou celulares de fabricantes chineses.
Como o kit assume o controle de uma conta do Telegram
Dentro de um aplicativo do Telegram adulterado, o código do kit é iniciado junto com o aplicativo e roda com a identidade e as permissões dele, segundo Ovi. Isso lhe dá o mesmo acesso que o aplicativo já logado possui.
Cada aplicativo adulterado também executa um servidor de comando local dentro de si. O código de cada aplicativo-alvo é baixado após a instalação, o que dificulta a análise isolada do arquivo de instalação.
Invasores podem enviar qualquer consulta ao banco de dados de mensagens do aplicativo e receber de volta o histórico de conversas.
A senha de verificação em duas etapas (2FA, autenticação de dois fatores) do Telegram é digitada no aplicativo, que a usa para gerar uma prova de login no celular. O kit intercepta essa etapa e copia a senha em formato legível antes que o aplicativo a transforme em hash.
Com a senha, o código pode encerrar as sessões ativas da conta, trocar o número de telefone vinculado ou excluir a conta. Outras partes do código foram projetadas para bloquear o dono da conta enquanto mantêm a sessão do invasor ativa.
O código também pode ocultar a sessão do invasor da lista de dispositivos que o aplicativo adulterado mostra ao usuário.
A descrição do Baohuo feita pela Doctor Web cobre essa mesma ocultação de dispositivos. A backdoor também envia o número de telefone, o nome e a senha da conta para seu servidor a cada três minutos.
Nem Ovi nem a Doctor Web dizem se uma sessão oculta ainda aparece nos outros aplicativos do Telegram do usuário, que não foram adulterados. Nenhum dos dois indica passos para proteger uma conta assumida dessa forma.
Ovi afirma que o código mostra o que o kit é capaz de fazer, e não que invasores tenham usado todas as etapas do início ao fim.
Malwares para Android anteriores também executaram aplicativos legítimos com código do invasor dentro deles. O FjordPhantom fez isso com aplicativos bancários por meio de virtualização, em 2023, e o trojan bancário GodFather também fez em 2025.
Ovi argumenta que o kit é diferente porque é vendido como produto. Os clientes podem controlá-lo remotamente contra qualquer aplicativo para o qual seus criadores tenham desenvolvido um módulo.
A parte do WeChat e o back end vazado
No caso do WeChat, o kit também pode usar virtualização de aplicativos, executando o app inalterado dentro de seu próprio contêiner, segundo Ovi. Um comando copia a identidade de login da conta. Em seguida, os dados do aplicativo são compactados e enviados, e um script de login incluído no kit é usado para clonar a conta.
Essa parte mira a própria conta, e não o histórico de conversas.
Ovi e outro pesquisador, Jurre, também encontraram o código do back end do kit em um servidor GitLab autogerenciado. Foi a única parte da estrutura que não estava restrita a endereços IP (Internet Protocol) aprovados.
O código mostra um console em nuvem que comerciantes e revendedores alugam. Cada comando traz o ID do cliente, de modo que cada um direciona sua parcela da frota de celulares às vítimas que escolhe.
Os comandos são enviados a celulares da fazenda de telefones do kit, um conjunto de aparelhos controlado pela operação, e aos celulares das vítimas. Lá, o kit captura autorizações de login, adiciona amigos em massa, coleta dados de contatos e perfis e faz backup de contas inteiras.
Um agendador define janelas de tempo, limites diários aleatórios e orçamentos por conta, de modo que a atividade pareça humana e escape das verificações de risco das plataformas. O código chama isso de “cultivo de contas”, na tradução de Ovi.
Cerca de três dezenas de desenvolvedores, todos trabalhando no horário da China, aparecem no histórico do código, e alguns ainda faziam alterações em outubro de 2026.
O back end vazado abrange contas pessoais do WeChat e do WeCom. Segundo Ovi, ele não parecia abranger o Telegram, e apenas um dos vários servidores GitLab estava exposto.
Quem está por trás
Ovi relaciona partes da operação a três empresas na província chinesa de Hunan. Uma delas está ligada ao site da marca do kit e a um certificado de servidor; outra, a um registro em site governamental para um servidor de comando; e a terceira, à assinatura do programa de controle para Windows do kit.
Ele diz que um proprietário em comum é “plausível, mas permanece não comprovado”.
O nome que os criadores dão ao produto é YingGai, e a linha de produtos aparece em registros que remontam a setembro de 2021. As amostras estudadas por Ovi são de 2024 a julho de 2026.
Ovi presume que o kit é usado para crimes motivados por ganhos financeiros, dado seu foco em carteiras digitais e códigos de uso único. A Doctor Web descreveu o Baohuo como “uma ferramenta para aumentar o número de inscritos em canais do Telegram”.
Indicadores de comprometimento (IOCs)
O kit deixa dois rastros em um celular que Ovi considera confiáveis. Um é um arquivo de código, TgJarPine.dex, na pasta assets de algumas cópias adulteradas do Telegram. O outro é a cópia original do aplicativo que o LSPatch, uma ferramenta pronta de modificação de aplicativos (patching), deixa em cache/lspatch/origin/*.apk.
Como esse segundo rastro vem do próprio LSPatch, ele também pode aparecer em aplicativos modificados com a ferramenta por outros motivos.
Quando o The Hacker News verificou os registros DNS (sistema de nomes de domínio) em 23 de outubro de 2026, vários dos domínios de servidor e download do kit já não resolviam. O domínio do servidor de envio de versões ainda apontava para 121.37.194[.]194.
Os indicadores do kit incluem:
- SHA-256 (algoritmo de resumo criptográfico): 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, framework e manipuladores de comandos)
- SHA-256: 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, carregador)
- SHA-256: dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (org.thunderdog.challegram, Telegram X adulterado, novembro de 2024)
- SHA-256: 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (org.telegram.messenger.web, Telegram adulterado, julho de 2024)
- SHA-256: a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 (org.thunderdog.challegram, Telegram X adulterado)
- SHA-256: f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx, host do WeChat)
- SHA-256: 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (com.ucreator.va_yjb_client, Onion Box)
- SHA-256: 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe, programa de controle para Windows)
- Domínio: hpncallback.gold5play[.]com (servidor de comando, sem resolução em 23 de outubro)
- Domínio: hpncallback.qianxunlbs[.]com (servidor de comando, sem resolução em 23 de outubro)
- Domínio: telegram-apk.uzyzx[.]com (host de download, sem resolução em 23 de outubro)
- Domínio: hw.android.videoflow[.]cn (envio de versões, apontando para 121.37.194[.]194 em 23 de outubro)
- IP: 159.138.237[.]10:32115 (servidor Redis)
- IP: 159.138.229[.]12:26379 (servidor Redis)
- Domínio: r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 (servidor Redis, parte do WeChat)
- IP: 43.225.141[.]209 (relay usado pela parte do Telegram)
- URL: kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ (downloads de hooking)
A Doctor Web publicou seus próprios indicadores para o Baohuo.
