🔍 Contexte

Analyse technique publiée le 21 octobre 2026 sur le blog 0x0v1 par le chercheur Ovi, portant sur uCreator (nom interne vendeur : YingGai), une plateforme commerciale de surveillance Android de type « mass control » (群控), active depuis au moins 2014 et toujours en développement actif en 2026.

🧩 Architecture de la plateforme

La plateforme est un framework productisé composé de plusieurs éléments :

  • Un moteur VirtualApp/LSPatch/Pine pour l’injection in-process sans root
  • Une bibliothèque de modules de hook par application cible
  • Un plan de contrôle Redis et HTTP
  • Une ferme de téléphones cloud pour le contrôle d’écran en direct
  • Une console opérateur Windows
  • Un backend Spring Cloud microservices avec Kafka et RocketMQ

Les applications ciblées incluent : GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo.

🎯 Capacités techniques

  • Interception OTP et extraction de données de portefeuilles et messageries
  • Accès SQL direct à la base de données live de Telegram (MessagesStorage) via réflexion
  • Capture du mot de passe 2FA Telegram en clair via hook de SRPHelper.getX
  • Suppression de session de la liste d’autorisations de la victime (dissimulation)
  • Prise de contrôle de compte (lockout via Uc_Business_RefuseLogin / Uc_Business_Frozen)
  • Usurpation de caméra pour contourner les vérifications KYC liveness
  • Harvesting de contacts et sauvegarde complète des données applicatives
  • Serveur HTTP de commande in-process avec ~40 handlers numérotés (IHttpDoc)
  • Livraison dynamique des modules de hook depuis Alibaba OSS et MinIO (Huuk_)

📦 Distribution

  • APKs repackagés de Telegram-X/Web, WeChat, GCash distribués par sideloading ou ingénierie sociale
  • Application conteneur 洋葱盒子 (Onion Box) pour WeChat via VirtualApp
  • Hôte de distribution : telegram-apk.uzyzx.com (NXDOMAIN)

🏗️ Infrastructure C2

  • Domaines principaux : qianxuncc.cn, videoflow.cn, opsapi.cn
  • Callbacks : hpncallback.gold5play.com, hpncallback.qianxunlbs.com
  • Proxy Southeast Asia : 43.225.141.209 (Huawei Cloud Thaïlande)
  • Stockage exfiltration : kfpt.oss-cn-hangzhou.aliyuncs.com
  • ~48 hôtes identifiés via fingerprint Tengine sur Censys
  • Infrastructure hébergée à Changsha sur Aliyun + Huawei Cloud

🏢 Attribution

Trois entités légales chinoises associées à différents composants :

  • 湖南由创科技有限公司 (Hunan Youchuang Technology) — marque ucreater.com
  • 长沙速凯网络有限责任公司 (Changsha Sukai Network) — ICP du C2 apex qianxuncc.cn
  • 长沙卓擎电子商务有限公司 (Changsha Zhuoqing E-commerce) — signature Authenticode de uip.exe

Une instance GitLab auto-hébergée exposée accidentellement a révélé le code source complet du backend, l’historique de commits (~36 développeurs, tous en UTC+8), et des emails de committers. Un développeur est lié à la société de logiciels de Changsha Tanzhou (潭州) via l’email hezhigang@tanzhou.cn.

📱 Compatibilité Android 16/17

L’implémentation Pine capturée présente une incompatibilité avec Android 16/17 due à un changement de signature de symbole ART (ShouldDenyAccessToMember). La technique d’instrumentation reste viable (confirmée avec Frida sur Pixel 10 Pro Android 17), mais la chaîne complète uCreator n’est pas confirmée fonctionnelle sur ces versions.

📋 Type d’article

Publication de recherche technique approfondie visant à documenter l’architecture, les capacités, l’infrastructure et les indicateurs d’une plateforme de spyware commercial Android à des fins de threat intelligence.

🧠 TTPs et IOCs détectés

TTP

  • T1406 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1417 — Input Capture (Collection)
  • T1417.001 — Input Capture: Keylogging (Collection)
  • T1409 — Stored Application Data (Collection)
  • T1412 — Capture SMS Messages (Collection)
  • T1430 — Location Tracking (Collection)
  • T1437 — Application Layer Protocol (Command and Control)
  • T1437.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1544 — Ingress Tool Transfer (Command and Control)
  • T1475 — Deliver Malicious App via Authorized App Store (Initial Access)
  • T1476 — Deliver Malicious App via Other Means (Initial Access)
  • T1407 — Download New Code at Runtime (Defense Evasion)
  • T1422 — System Network Configuration Discovery (Discovery)
  • T1532 — Archive Collected Data (Exfiltration)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1398 — Boot or Logon Initialization Scripts (Persistence)
  • T1577 — Compromise Application Executable (Persistence)

IOC

  • IPv4 : 121.37.194.194 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 43.225.141.209 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 159.138.229.12 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 159.138.237.10 — AbuseIPDB · VT · ThreatFox
  • Domaines : hpncallback.gold5play.com — VT · URLhaus · ThreatFox
  • Domaines : hpncallback.qianxunlbs.com — VT · URLhaus · ThreatFox
  • Domaines : hw.android.videoflow.cn — VT · URLhaus · ThreatFox
  • Domaines : videoflow.cn — VT · URLhaus · ThreatFox
  • Domaines : qianxuncc.cn — VT · URLhaus · ThreatFox
  • Domaines : qianxunlbs.com — VT · URLhaus · ThreatFox
  • Domaines : uzyzx.com — VT · URLhaus · ThreatFox
  • Domaines : gold5play.com — VT · URLhaus · ThreatFox
  • Domaines : opsapi.cn — VT · URLhaus · ThreatFox
  • Domaines : ucreater.com — VT · URLhaus · ThreatFox
  • Domaines : tanjingpaas.com — VT · URLhaus · ThreatFox
  • Domaines : hunanzhijing.com — VT · URLhaus · ThreatFox
  • Domaines : s5.ips5.cn — VT · URLhaus · ThreatFox
  • URLs : http://kfpt.oss-cn-hangzhou.aliyuncs.com/android/app/YingGai/Huuk_<TARGET> — URLhaus
  • URLs : http://paas.minio.opsapi.cn/fengzhuang-app/hook-tg/tghuuk_PA — URLhaus
  • URLs : http://hpncallback.qianxunlbs.com/api/callback/TgHeartCallback — URLhaus
  • URLs : http://hw.android.videoflow.cn:9090/api/hwversion/Upload — URLhaus
  • URLs : http://telegram-apk.uzyzx.com/telegram/getfirebase — URLhaus
  • URLs : http://s5.ips5.cn/api/socks5/getGlobalS5Resource — URLhaus
  • SHA256 : 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 — VT · MalwareBazaar
  • SHA256 : 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 — VT · MalwareBazaar
  • SHA256 : dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e — VT · MalwareBazaar
  • SHA256 : 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 — VT · MalwareBazaar
  • SHA256 : a90e3ab2b5cf306439a378faf7107a89196116ad7ee4ad5791c2ba8839ba21c4 — VT · MalwareBazaar
  • SHA256 : f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 — VT · MalwareBazaar
  • SHA256 : 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c — VT · MalwareBazaar
  • SHA256 : 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 — VT · MalwareBazaar
  • SHA1 : 33f687f3dd7cdf241d7547ec8f5a3ad1ac4b8eb8 — VT · MalwareBazaar
  • SHA1 : 3644440f20eb1b5f5342ce06218dd3dfb83f6580 — VT · MalwareBazaar
  • SHA1 : 7A9F9A7E699F84979F22EC1C409DFAB28ACA7CAE — VT · MalwareBazaar
  • Emails : wu547534740@126.com
  • Emails : yang_150test@126.com
  • Emails : 13574128013@163.com
  • Emails : 191332131@qq.com
  • Emails : vampirehgg@qq.com
  • Emails : hezhigang@tanzhou.cn
  • Emails : 1214534695@qq.com
  • Emails : 18373861382@163.com
  • Emails : 997395359@qq.com
  • Fichiers : uip.exe
  • Fichiers : cache4.db
  • Fichiers : contacts.vcf
  • Fichiers : LoginWeChat_v1.0.1.js
  • Fichiers : TgJarPine.dex
  • Chemins : cache/lspatch/origin/.apk
  • Chemins : /android/app/YingGai/contacts.vcf
  • Chemins : /MediaRes/contacts.txt
  • Chemins : /Scripts/LoginWeChat_v1.0.1.js
  • Chemins : assets/TgJarPine.dex

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • uCreator (YingGai) (rat)
  • VirtualApp (framework)
  • LSPatch (framework)
  • Pine (framework)
  • 洋葱盒子 (Onion Box) (loader)
  • uip.exe (tool)

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ⬜ 0x0v1.com — source non référencée (0pts)
  • ✅ 30140 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 53 IOCs dont des hashes (15pts)
  • ✅ 4/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 2fc4bad71eda25b9… (sha256) → VT (7/75 détections)
  • 0142749a159be3e4… (sha256) → VT (12/75 détections)
  • dcec9640271a7825… (sha256) → VT (9/75 détections)
  • hpncallback.gold5play.com (domain) → VT (10/92 détections)

🔗 Source originale : https://www.0x0v1.com/ucreator-virtualization-based-android-spyware-platform-targeting-wechat-telegram-and-other-messaging-apps/