通过篡改 APK 或虚拟容器传播
据分析，uCreator 主要通过两种方式感染设备：一是篡改 Telegram、GCash 等应用的安装包，并在其中植入 LSPatch、Pine 等挂钩组件；二是利用名为 Onion Box（“洋葱盒子”）的容器程序，在虚拟化环境中启动微信，无需直接篡改微信安装包。

研究人员称，这类应用通过非官方渠道传播，用户通常需要自行下载并侧载安装。Google Play、App Store 等正规应用商店并非其已知传播渠道。

可窃取账号信息并模拟用户操作
不同应用模块具备不同功能。针对 Telegram，恶意程序可以读取本地聊天数据库、获取二次验证密码，并劫持用户会话；针对微信，功能侧重于账号克隆、会话接管、联系人收集及模拟日常操作；针对 GCash 等东南亚钱包，则可能窃取支付相关信息。

报告还提到，该工具具备伪造摄像头画面的能力，可用于绕过部分人脸核验或活体检测流程，且不要求手机取得 root 权限。

研究人员发现，uCreator 配有多租户管理后台，不同付费客户可以分别管理受害设备集群，并使用批量养号、定时操作等功能模拟真人行为。报告称，攻击者的一台自托管 GitLab 服务器未设置 IP 白名单，导致后端源码暴露；代码提交记录显示，约有 36 名开发者参与项目，相关时区信息显示为中国时区。

报告提及的基础设施溯源线索指向湖南的几家企业，但研究人员强调，这些线索并不能直接证明相关企业就是幕后运营主体，也不能据此认定存在国家层面的情报活动。

研究人员称与 Baohuo 后门工具链相似
2025 年，Doctor Web 曾报告一款藏匿于篡改版 Telegram X 中的 Baohuo 后门，估计约有 5.8 万台设备受到影响。此次分析发现，uCreator 的 Telegram 模块在命名空间、命令名称及 C2 地址等方面与 Baohuo 高度重合。研究人员据此认为，两者属于同源工具链。

经查，该男子名叫塔·伊宁（音译，Tha Yining），31岁，来自中国湖南省，身上没有护照。被捕时，现场未发现负责带路的人。

据其通过中文翻译陈述，他于2024年初从湖南前往缅甸，后认识一名中国男子，受邀到柬埔寨工作，同年7月经老挝进入柬埔寨。抵达后，一名中国中介将他带到西哈努克市的一家赌场，被迫从事网络赌博相关工作，内容涉及诱骗他人投资，持续约一年半，收入不稳定。

他声称，2026年4月30日，因柬埔寨当局打击网络犯罪且自己未完成业绩，一名中国籍雇主强迫他上车，让他喝下掺有安眠药的水。恢复意识后，他发现自己双手被绑，并被带往泰柬边境，后来才知道可能被转卖。抵达边境后，一群柬埔寨男子持刀威胁，逼他穿过铁丝网进入泰国。

进入泰国后，有两辆泰国男子驾驶的皮卡接应，他乘坐白色皮卡，红色皮卡在前方带路。两车到沙缴府亚兰县一处 PTT 加油站加油，准备继续前往曼谷，之后再前往清迈府。他趁停车加油、车内无人时逃跑，沿3446号公路（Si Phen Road）奔跑，最终遇上泰国边境巡逻部队人员并被控制。

目前，泰国警方已将塔·伊宁移交空叻警察局调查人员，依法处理其涉嫌非法越境问题，并追查接应、运送人员及相关犯罪网络。