Ein Vergleich beider Veröffentlichungen zeigt deutliche Überschneidungen: Doctor Webs technische Beschreibung von Baohuo nennt denselben Code-Namensraum com.ucreator.tgjar, denselben Command-and-Control-Server und übereinstimmende Befehlsnamen wie Ovis Analyse. Ovi erwähnt die Funde von Doctor Web nicht, Doctor Web wiederum benannte das Kit nicht. Offen bleibt, ob die Kit-Hersteller selbst oder einer ihrer Kunden die von Doctor Web verfolgte Kampagne betrieb.

Verbreitung und Betroffene

Die manipulierten Apps gelangen laut Ovi über Sideloading — also die direkte Installation einer App-Datei ohne App-Store — und über Social Engineering auf die Geräte. Wie jedes einzelne Opfer infiziert wurde, konnte er nicht bestätigen. Ein zweiter Weg ist die Container-App der Hersteller selbst, 洋葱盒子 („Onion Box"), die andere Apps in sich ausführt. Manche der manipulierten Telegram-X-Kopien verwenden denselben Paketnamen wie die echte App bei Google Play, sodass der Name allein sie nicht verrät.

Doctor Web stellte fest, dass Baohuo-Kopien seit Mitte 2024 über In-App-Werbung verbreitet wurden, die auf gefälschte App-Store-Seiten führte. Dort wurde Telegram X als Dating- und Videochat-App beworben. Die Banner dieser Seiten gab es nur auf Portugiesisch für Nutzer in Brasilien und auf Indonesisch. Dennoch führte Doctor Webs Länderkarte infizierter Geräte aus dem Jahr 2025 Indien mit 22,8 Prozent an, vor Brasilien mit 20,5 Prozent und Indonesien mit 9,6 Prozent. Baohuo-Kopien tauchten außerdem in den Drittanbieter-Stores APKPure, ApkSum und AndroidP auf. Bei APKPure war eine davon unter dem Namen des offiziellen Entwicklers gelistet, trug aber eine abweichende digitale Signatur.

Ovi erhielt Zugang zu einem der Befehlsserver des Kits. Dort lagen Daten zu Opfern, die offenbar in China und den USA zu verorten sind — für eine belastbare Zählung reichten sie nicht. Seinen Bericht bezeichnet er als „eine Analyse technischer Fähigkeiten, keine Messung der Opferwirkung".

Die mutmaßlichen, weiterhin unbestätigten Ziele sind Nutzer mobiler Wallets und Messenger in China und Südostasien, darunter WeCom, QQ, WhatsApp, LINE, Zalo, KakaoTalk, Viber, GCash und MoMo. Ovi fand Code für rund 20 Apps, veröffentlicht hat er bislang nur den für Telegram und WeChat.

Hooking-Engine und Android-Versionen

Die Hooking-Engine ist der Bestandteil, der es dem Code erlaubt, Funktionen einer App abzufangen. Ovi prüfte sie auf einem Pixel 10 Pro mit Android 17: Sie fand eine interne Android-Funktion nicht, auf die sie angewiesen ist, weil neuere Android-Versionen diese Funktion geändert haben. Das Werkzeug Frida konnte Apps auf demselben Gerät weiterhin auf die gleiche Weise hooken. Ovi wertet das deshalb als zusätzlichen Aufwand für die Hersteller, nicht als Beleg dafür, dass Android 17 den Angriff blockiert. Das jüngste Sample vom 29. Juli 2026 trug noch die alte Engine. Er sicherte Samples, die für Android 16 gebaut wurden, berichtet aber nicht über Tests mit dieser Version; Geräte chinesischer Hersteller hat er nicht getestet.

Übernahme eines Telegram-Kontos

In einer manipulierten Telegram-App startet der Code gemeinsam mit der App und läuft mit deren Identität und Berechtigungen — er hat damit denselben Zugriff wie die angemeldete App. Jede manipulierte App betreibt zudem einen lokalen Befehlsserver in sich selbst. Der Code für die jeweilige Ziel-App wird erst nach der Installation nachgeladen, was die Installationsdatei für sich genommen schwerer analysierbar macht.

Angreifer können beliebige Datenbankabfragen an den Nachrichtenspeicher der App senden und so den Chatverlauf abrufen. Das Passwort der Telegram-Zwei-Schritt-Verifizierung (2FA) wird in der App eingegeben, die daraus auf dem Telefon einen Anmeldenachweis erzeugt. Das Kit hakt sich in diesen Schritt ein und kopiert das Passwort im Klartext, bevor die App es hasht.

Mit dem Passwort kann der Code die angemeldeten Sitzungen des Kontos zurücksetzen, die hinterlegte Telefonnummer ändern oder das Konto löschen. Weitere Codeteile sind darauf ausgelegt, den Eigentümer auszusperren und zugleich die Sitzung des Angreifers am Leben zu halten. Außerdem kann der Code die Sitzung des Angreifers aus der Geräteliste ausblenden, die die manipulierte App dem Nutzer anzeigt.

Doctor Webs Beschreibung von Baohuo nennt dasselbe Verstecken von Geräten. Die Hintertür übermittelt darüber hinaus alle drei Minuten Telefonnummer, Namen und Passwort des Kontos an ihren Server. Weder Ovi noch Doctor Web äußern sich dazu, ob eine versteckte Sitzung in anderen, nicht manipulierten Telegram-Apps des Nutzers sichtbar bleibt; Schritte zur Absicherung eines so übernommenen Kontos nennt keiner von beiden. Ovi betont, der Code zeige, was das Kit leisten kann — nicht, dass Angreifer jeden Schritt von Anfang bis Ende genutzt haben.

Frühere Android-Schadsoftware ließ ebenfalls legitime Apps mit Angreifer-Code darin laufen: FjordPhantom tat dies 2023 per Virtualisierung mit Banking-Apps, der Banking-Trojaner GodFather 2025 ebenso. Ovi hält uCreator für anders gelagert, weil es als Produkt verkauft wird: Kunden können es aus der Ferne gegen jede App richten, für die die Hersteller ein Modul schreiben.

WeChat-Modul und geleaktes Backend

Für WeChat kann das Kit auch App-Virtualisierung nutzen und die unveränderte App in seinem eigenen Container ausführen. Ein Befehl kopiert die Anmeldeidentität des Kontos heraus, anschließend werden die App-Daten gepackt und hochgeladen; ein mitgeliefertes Anmeldeskript dient dann zum Klonen des Kontos. Dieser Teil zielt auf das Konto selbst, nicht auf den Chatverlauf.

Ovi und ein weiterer Forscher, Jurre, fanden zudem den Backend-Code des Kits auf einem selbst betriebenen GitLab-Server — dem einzigen Teil der Infrastruktur, der nicht auf freigegebene IP-Adressen beschränkt war. Der Code zeigt eine Cloud-Konsole, die Händler und Wiederverkäufer mieten. Jeder Befehl trägt die Kunden-ID, sodass jeder Kunde seinen Anteil an der Telefonflotte auf selbst gewählte Opfer richtet.

Befehle gehen an Telefone der kitseigenen Phone-Farm, also eines von der Operation kontrollierten Geräteparks, sowie an die Telefone der Opfer. Dort erfasst das Kit Anmeldeautorisierungen, fügt massenhaft Kontakte hinzu, sammelt Kontakt- und Profildaten und sichert ganze Konten. Ein Scheduler legt Zeitfenster, zufällige Tageslimits und Budgets je Konto fest, damit die Aktivität menschlich wirkt und die Risikoprüfungen der Plattformen passiert. Der Code nennt das in Ovis Übersetzung „Kontopflege".

Rund drei Dutzend Entwickler, alle in chinesischer Zeitzone arbeitend, erscheinen in der Versionsgeschichte; einige änderten noch im Oktober 2026 Code. Das geleakte Backend deckt private WeChat- und WeCom-Konten ab. Telegram schien es laut Ovi nicht abzudecken, und nur einer von mehreren GitLab-Servern war offen zugänglich.

Hintermänner

Ovi verknüpft Teile der Operation mit drei Unternehmen in der chinesischen Provinz Hunan: eines über die Markenwebsite des Kits und ein Serverzertifikat, ein zweites über eine behördliche Website-Registrierung für einen Befehlsserver, ein drittes über die Signatur des Windows-Steuerprogramms. Ein gemeinsamer Eigentümer sei „plausibel, bleibt aber unbewiesen". Der Produktname der Hersteller lautet YingGai; die Produktlinie taucht in Unterlagen bis September 2021 zurück auf. Die von Ovi untersuchten Samples stammen aus den Jahren 2024 bis Juli 2026. Ovi geht von finanziell motivierter Kriminalität aus, da das Kit auf Wallets und Einmalkennwörter ziele. Doctor Web beschrieb Baohuo als „Werkzeug zur Steigerung der Abonnentenzahlen in Telegram-Kanälen".

Indikatoren

Zwei Spuren auf dem Telefon hält Ovi für verlässlich: die Code-Datei TgJarPine.dex in den Assets mancher manipulierter Telegram-Kopien sowie die Originalkopie der App, die das fertige Patch-Werkzeug LSPatch unter cache/lspatch/origin/*.apk hinterlässt. Da diese zweite Spur von LSPatch selbst stammt, kann sie auch in Apps auftreten, die aus anderen Gründen mit dem Werkzeug gepatcht wurden.

Bei einer DNS-Prüfung am 23. Oktober 2026 lösten mehrere Server- und Download-Domains des Kits nicht mehr auf. Die Domain des Versions-Upload-Servers verwies weiterhin auf 121.37.194[.]194.

  • SHA-256: 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg, Framework und Befehlsverarbeitung)
  • SHA-256: 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx, Loader)
  • SHA-256: dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (org.thunderdog.challegram, manipuliertes Telegram X, November 2024)
  • SHA-256: 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (org.telegram.messenger.web, manipuliertes Telegram, Juli 2024)
  • SHA-256: a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 (org.thunderdog.challegram, manipuliertes Telegram X)
  • SHA-256: f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx, WeChat-Host)
  • SHA-256: 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (com.ucreator.va_yjb_client, Onion Box)
  • SHA-256: 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe, Windows-Steuerprogramm)
  • Domain: hpncallback.gold5play[.]com (Befehlsserver, am 23. Oktober ohne Auflösung)
  • Domain: hpncallback.qianxunlbs[.]com (Befehlsserver, am 23. Oktober ohne Auflösung)
  • Domain: telegram-apk.uzyzx[.]com (Download-Host, am 23. Oktober ohne Auflösung)
  • Domain: hw.android.videoflow[.]cn (Versions-Uploads, am 23. Oktober auf 121.37.194[.]194 verweisend)
  • IP: 159.138.237[.]10:32115 (Redis-Server)
  • IP: 159.138.229[.]12:26379 (Redis-Server)
  • Domain: r-bp1jehsclgbuu48m7tpd.redis.rds.aliyuncs[.]com:65531 (Redis-Server, WeChat-Teil)
  • IP: 43.225.141[.]209 (Relay des Telegram-Teils)
  • URL: kfpt.oss-cn-hangzhou.aliyuncs[.]com/android/app/YingGai/ (Hook-Downloads)

Doctor Web hat eigene Indikatoren zu Baohuo veröffentlicht.