بنية تحتية C2 مثبتة مسبقًا وحمولة RAT على أجهزة عرض Android

تقرير تحليل تقني — بحث أمني

---

الأجهزة المتأثرة: أجهزة عرض Android متعددة من علامات تجارية مثل Nonete (على سبيل المثال، الطراز HY260Pro) (من المحتمل أيضًا عدة أجهزة عرض من Magcubic وHotack وHuyukang وغيرها الكثير، حيث توزع هذه الشركات طرازات مشابهة وهناك مؤشرات تدعم ذلك)
منصة الشريحة: Allwinner H713 / sun50iw12p1 — قد يؤثر على جميع الأجهزة على هذه المنصة
فترة التحليل: 11–17 أبريل 2026 و15-18 يونيو 2026
التصنيف: بنية تحتية Command-and-Control مثبتة مسبقًا مع حمولة Remote Access Trojan

---

TL;DR

• المشكلة: العديد من أجهزة عرض Android الرخيصة (ربما علامات تجارية مثل Magcubic وHotack وغيرها، التي تستخدم شريحة Allwinner H713)، التي تُباع حاليًا بكميات هائلة على Amazon وeBay وAliExpress، مصابة ببرمجيات خبيثة مباشرة من المصنع (هجوم سلسلة التوريد، مشابه لحالات "BADBOX").
• الآلية: تطبيق نظام مثبت مسبقًا ("StoreOS") يعمل كأداة إسقاط من المرحلة الأولى. يقوم بصمت بتنزيل وتثبيت "SilentSDK" بأقصى صلاحيات النظام. ويقوم SilentSDK بدوره بتثبيت PluginManager الفعلي ( com.me.cash5)، مما يشكل سلسلة إصابة من أربع مراحل:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• إطار عمل الإضافات متعدد العائلات: يتصل PluginManager بـ api.pixelpioneerss.com وينشر حتى 5 إضافات معيارية، كل منها يخدم غرضاً إجرامياً متميزاً ويستهدف مناطق جغرافية محددة. هذا ليس برمجية خبيثة واحدة — بل هو منصة لتشغيل عائلات برمجيات خبيثة متعددة في وقت واحد على جهاز واحد:
  • com.falc.tree.alln — وكيل بروكسي سكني أصلي (بوتنت XFJ/net2fast). يسجّل الجهاز كعقدة خروج، ويوجّه حركة عملاء يدفعون عبر اتصال الإنترنت الخاص بالضحية. تم تأكيد خادم التوزيع النشط على الأراضي الألمانية (فرانكفورت، AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — بروكسي عكسي / عميل بوتنت يتواصل مع بنية syslogcollector.com التحتية عبر TLS. المؤشرات متوافقة مع بوتنت Vo1d، وهو بوتنت Android TV واسع النطاق معروف تم توثيقه لأول مرة في 2023.
  • com.amg.mnjk.lilo — عقدة بروكسي قائمة على UDP (o.fecebbbk.xyz:16000). تستخدم بروتوكولاً ثنائياً لنفق حركة المرور.
  • com.yj.pickled.radish — SDK للاحتيال الإعلاني / احتيال النقر (sda-1.xyz:40003). يستهدف حصرياً إندونيسيا وروسيا والمكسيك والبرازيل. يتلقى أوامر التحكم بـ WebView من C2.
  • com.so.lmax.ccn — SDK بروكسي P2P تجاري مع تشويش كثيف في وقت التشغيل (فك تشفير مفتاح XOR القائم على تتبع المكدس). يتم حل نقاط النهاية ديناميكياً.
• نسبة المطوّر: رموز التصحيح في المكتبة الأصلية تحدد جهاز Windows الخاص بالمطوّر (اسم المستخدم 39398، المشروع CxfjShell، D:\code\Android\CxfjShell). يشكّل هذا بصمة نسبة عبر العينات.
• الخطر: الجهاز مسجّل في وقت واحد في بوتنتات متعددة (بروكسي سكني، Vo1d، احتيال إعلاني)، ويسرّب معرّفات الجهاز (MAC، الرقم التسلسلي، Android ID) إلى الصين، ويمكنه تنفيذ تعليمات برمجية عشوائية بصلاحيات root في أي وقت. يأتي الجهاز أيضاً بأبواب خلفية root مفتوحة (ADB غير موثّق على المنفذ 5555، ثنائي su مخفي /system/bin/qw). البنية التحتية لـ C2 تعمل بكامل طاقتها ويمكن تغيير قواعد الاستهداف الجغرافي من جانب الخادم في أي وقت لتوسيع النطاق إلى أي بلد.
• التخفيف الفوري: احجب *.aodintech.com، api.pixelpioneerss.com، sta.smartinnovate.net، balancer.api.net2fast.com، *.syslogcollector.com، o.fecebbbk.xyz، www.sda-1.xyz على مستوى الشبكة. احجب عناوين IP الخاصة بالموزّع 79.127.216.89، 107.151.220.86، 207.166.169.133 على المنفذ 12341/TCP. يمكن للمستخدمين المتأثرين تعطيل التطبيقات الخبيثة عبر ADB.

جدول المحتويات

1. تحديد الجهاز
2. سير عمل التحقيق
3. صلاحيات Root — مسار الاستغلال
4. استجابة خادم C2 — الأدلة الأساسية
5. نظرة عامة على منظومة البرمجيات الخبيثة
6. StoreOS — تحليل أداة الإسقاط (com.htc.storeos)
7. EventUploadService — القياس عن بُعد (com.htc.eventuploadservice)
8. ExpandSDK — حقن الإعلانات (com.htc.expandsdk)
9. SilentSDK — تحليل أداة الإسقاط من المرحلة الثانية (com.hotack.silentsdk)
   • 9.1 الحمولة الخبيثة (com.me.cash5 — المرحلة 3)
10. سلسلة تسليم الإضافات (com.me.cash5)
    • الخطوة 1: طلب قائمة الإضافات (api.pixelpioneerss.com)
    • الخطوة 2: مرشحات الإصدارات (PluginDeliveryInfo)
    • الخطوة 3: معلومات السياسة وقواعد التسييج الجغرافي
    • الخطوة 4: تنزيل الكتلة المشفرة
    • الخطوة 5: فك تشفير XOR
    • تحليل التسييج الجغرافي
    • C2 الثانوي (قيد التحقيق)
11. الإضافات النهائية (المرحلة 4)
    • com.yj.pickled.radish_v100 — SDK الاحتيال الإعلاني
    • com.hhh.lijng.jaaa_v8 — عميل بوتنت Jaguar
    • com.amg.mnjk.lilo_v10 — عقدة بروكسي UDP
    • com.so.lmax.ccn_v16 — SDK بروكسي تجاري
    • com.falc.tree.alln_v13 — وكيل بروكسي أصلي ← تحليل كامل
      • بصمة المطوّر (مستخدم Windows 39398، المشروع CxfjShell)
      • libxfjall.so — اتصال C2 ثلاثي المراحل
      • البنية التحتية للموزّع (بما في ذلك فرانكفورت، DE)
      • آلية الاستمرارية
12. أبواب خلفية النظام
13. التحليل الجنائي للشبكة
14. انتحال الجهاز (انتحال بصمة البناء)
15. التأكيد الخارجي
16. مؤشرات الاختراق (IOCs)
17. تعيين MITRE ATT&CK
18. التخفيفات الفورية
19. المصادر

إشعار الاستعجال

البنية التحتية للبرمجيات الخبيثة الموثقة في هذا التقرير مثبّتة مسبقاً على أجهزة عرض Android التي تُباع حالياً بكميات كبيرة للمستهلكين النهائيين على Amazon وeBay وAliExpress. تمتد الأجهزة المتأثرة على الأرجح لتشمل أسماء تجارية متعددة (Hotack، Huyukang، Magcubic، Nonete، من بين أخرى). تم تأكيد البنية التحتية المطابقة لـ C2 بشكل مستقل على أجهزة أخرى من نفس الشركة المصنّعة (انظر القسم 13). يطابق النمط حالات BADBOX.

---

---

الجهاز المُشترى: رابط Amazon - Nonete Mini Beamer 4K 1080P

---

1. تحديد الجهاز

الخاصية	القيمة
الاسم التجاري	Nonete HY260Pro (طراز تبيعه شركات متعددة)
اسم الطراز الداخلي	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
نظام التشغيل	SpectraOS (Android 11، Kernel 5.4.99)
بصمة البناء الحقيقية	Allwinner/h713_tuna_p3/h713-tuna_p3:11
بصمة البناء المنتحلة	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (بدون فرض)
مفتاح توقيع المنصة	مفتاح اختبار AOSP العام
قناة البرنامج الثابت	HY260Pro_SpectraOS_TPYB

ملاحظة حول النطاق: شريحة Allwinner H713 مدمجة في العديد من أجهزة عرض Android الرخيصة التي تُباع تحت أسماء تجارية متغيرة في السوق الأوروبية. قاعدة البرنامج الثابت المتطابقة (h713_tuna_p3) ومشغّل C2 المتطابق (Shenzhen Aodin Technology) يشيران بقوة إلى أن جميع الأجهزة من هذا المصنّع الأصلي تحتوي على نفس البنية التحتية.

---

2. سير عمل التحقيق