你装的“汉化版”Telegram，可能正把聊天记录和2FA密码明文送出去！

一款叫uCreator的中国间谍软件，藏在重新打包的Telegram、微信、GCash里。

怎么传播？两种路子：一是篡改安装包，植入LSPatch、Pine等挂钩组件；二是用“洋葱盒子”容器，虚拟环境里跑微信，连原包都不用改。正规商店没有，全靠非官方渠道侧载。

能干什么？Telegram：读本地聊天数据库，2FA密码明文拿，劫持会话。微信：账号克隆、会话接管、收集联系人、模拟日常操作。GCash等东南亚钱包：偷支付信息。

还能伪造摄像头画面，骗过人脸核验和活体检测。不需要root。

后台更“专业”：多租户管理，不同付费客户各自管一批受害设备，批量养号、定时操作，模拟真人。

研究人员发现，它的Telegram模块和2025年曝光的Baohuo后门高度重合，同源工具链。源码泄露显示约36名开发者参与，时区中国。基础设施线索指向湖南几家企业，但研究人员强调，不能直接证明这些企业就是运营方。

提醒：别从陌生网站、Telegram群、网盘下“汉化版”“增强版”Telegram、微信、GCash。手机里有“洋葱盒子”这类容器应用，赶紧卸。怀疑中招，用可信工具排查，改密码，撤可疑会话。

装个假App，聊天记录、密码、钱包，全成别人的。