中国间谍软件uCreator潜伏于Telegram与微信中

间谍软件uCreator揭秘

近期，研究人员Ovi揭示了一款名为uCreator的中国间谍软件套件，该软件被隐藏在重新打包的Telegram、微信和GCash应用程序中。该恶意软件能够读取用户聊天记录，并以明文形式获取二次验证（2FA）密码，令用户信息安全面临严重威胁。

传播途径与感染方式

uCreator通过两种主要方式感染设备。首先，它会篡改Telegram、GCash等应用的安装包，将LSPatch、Pine等挂钩组件植入其中。其次，利用名为Onion Box（“洋葱盒子”）的虚拟容器程序，在不直接篡改应用安装包的情况下启动微信，这使得该恶意软件更加隐蔽。

这些受感染的应用通常通过非官方渠道传播，用户需自行下载并侧载安装，因此Google Play和App Store等正规应用商店并不是其已知的传播渠道。

功能与危害

uCreator的不同模块具备多种功能。在Telegram中，该恶意程序不仅能读取本地聊天数据库，还能获取二次验证密码并劫持用户会话；在微信中，则侧重于账号克隆、会话接管、联系人收集及模拟日常操作。而对于GCash等东南亚电子钱包，uCreator则可窃取支付相关信息。

此外，研究人员发现该工具还具备伪造摄像头画面的能力，使得其可以绕过部分人脸识别和活体检测流程，且不需要获取手机的root权限。

管理后台与开发者信息

uCreator配备了多租户管理后台，允许不同付费客户管理受害设备，并使用批量养号、定时操作等功能模拟真人行为。研究人员指出，攻击者的一台自托管GitLab服务器未设置IP白名单，导致后端源码暴露。代码提交记录显示约有36名开发者参与该项目，其相关时区信息则指向中国。

与Baohuo后门工具链的关系

有分析指出，uCreator与早前被发现的Baohuo后门工具链有高度相似性。2025年，Doctor Web曾报告一款隐蔽于篡改版Telegram X中的Baohuo后门，影响了约5.8万台设备。uCreator的Telegram模块在命名空间、命令名称及C2地址等方面与Baohuo高度重合，因此研究人员认为两者可能属于同源工具链。

用户安全建议

针对这一威胁，研究人员提醒用户避免从不明网站、Telegram群组或网盘下载所谓的“汉化版”“增强版”应用，尤其是在东南亚务工或跨境经营的人员需提高警惕。同时，若发现设备中有来源不明的Onion Box等容器应用，建议立即卸载，并检查相关账号的登录设备与安全设置。如果怀疑设备已感染，应尽快使用可信的安全工具进行排查，并通过安全设备更改重要账号密码，撤销可疑会话。