Vorinstallierte C2-Infrastruktur und RAT-Payload auf Android-Projektoren

Technischer Analysebericht — Sicherheitsforschung

---

Betroffene Geräte: Mehrere Android-Projektoren von Projektor-Marken wie Nonete (z. B. Modell HY260Pro) (wahrscheinlich auch mehrere Projektoren von Magcubic, Hotack, Huyukang und vielen weiteren, da diese Unternehmen ähnliche Modelle vertreiben und es Hinweise gibt, die dies stützen)
Chipset-Plattform: Allwinner H713 / sun50iw12p1 — betrifft möglicherweise alle Geräte auf dieser Plattform
Analysezeitraum: 11.–17. April 2026 & 15.–18. Juni 2026
Klassifizierung: Vorinstallierte Command-and-Control-Infrastruktur mit Remote-Access-Trojaner-Payload

---

TL;DR

• Das Problem: Zahlreiche billige Android-Projektoren (möglicherweise Marken wie Magcubic, Hotack usw., die den Allwinner-H713-Chip verwenden), die derzeit in großen Mengen auf Amazon, eBay und AliExpress verkauft werden, sind ab Werk mit Malware infiziert (Supply-Chain-Angriff, ähnlich den „BADBOX"-Fällen).
• Der Mechanismus: Eine vorinstallierte System-App („StoreOS") fungiert als First-Stage-Dropper. Sie lädt still und heimlich „SilentSDK" mit maximalen Systemrechten herunter und installiert es. SilentSDK wiederum installiert den eigentlichen PluginManager ( com.me.cash5) und bildet so eine vierstufige Infektionskette:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Multi-Family-Plugin-Framework: Der PluginManager kontaktiert api.pixelpioneerss.com und setzt bis zu 5 modulare Plugins ein, die jeweils einem bestimmten kriminellen Zweck dienen und auf spezifische geografische Regionen abzielen. Dies ist keine einzelne Malware — es ist eine Plattform zum Betrieb mehrerer gleichzeitiger Malware-Familien auf einem einzigen Gerät:
  • com.falc.tree.alln — Nativer Residential-Proxy-Agent (XFJ/net2fast-Botnetz). Registriert das Gerät als Exit- Node und leitet den Datenverkehr zahlender Kunden über die Internetverbindung des Opfers. Aktiver Dispatcher-Server auf deutschem Boden bestätigt (Frankfurt, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Reverse-Proxy-/Botnetz-Client, der über TLS mit der Infrastruktur von syslogcollector.com kommuniziert. Die Indikatoren stimmen mit dem Vo1d-Botnetz überein, einem bekannten groß angelegten Android-TV-Botnetz, das erstmals 2023 dokumentiert wurde.
  • com.amg.mnjk.lilo — UDP-basierter Proxy-Node (o.fecebbbk.xyz:16000). Verwendet ein binäres Protokoll für Traffic-Tunneling.
  • com.yj.pickled.radish — Ad-Fraud-/Click-Fraud-SDK (sda-1.xyz:40003). Zielgerichtet ausschließlich auf Indonesien, Russland, Mexiko und Brasilien. Empfängt WebView-Steuerbefehle von C2.
  • com.so.lmax.ccn — Kommerzielles P2P-Proxy-SDK mit starker Laufzeitverschleierung (Stack-Trace-basierte XOR-Key- Entschlüsselung). Endpunkte werden dynamisch aufgelöst.
• Entwickler-Attribution: Debug-Symbole in der nativen Bibliothek identifizieren den Windows-Rechner des Entwicklers (Benutzername 39398, Projekt CxfjShell, D:\code\Android\CxfjShell). Dies stellt einen Cross-Sample-Attributions-Fingerabdruck dar.
• Die Gefahr: Das Gerät ist gleichzeitig in mehreren Botnetzen registriert (Residential-Proxy, Vo1d, Ad-Fraud), exfiltriert Geräte-Identifikatoren (MAC, Seriennummer, Android ID) nach China und kann jederzeit beliebigen Code mit Root- Rechten ausführen. Das Gerät wird zudem mit offenen Root-Backdoors ausgeliefert (ADB unauthentifiziert auf Port 5555, versteckte su- Binary /system/bin/qw). Die C2-Infrastruktur ist voll funktionsfähig und die Geo-Targeting-Regeln können serverseitig jederzeit geändert werden, um die Reichweite auf jedes Land auszudehnen.
• Sofortige Gegenmaßnahmen: Blockieren Sie *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz auf Netzwerkebene. Firewall Dispatcher-IPs 79.127.216.89, 107.151.220.86, 207.166.169.133 auf Port 12341/TCP. Betroffene Nutzer können bösartige Apps über ADB deaktivieren.

Inhaltsverzeichnis

1. Geräteidentifikation
2. Untersuchungs-Workflow
3. Root-Zugriff — Exploit-Pfad
4. C2-Server-Antwort — Kernbeweise
5. Malware-Ökosystem-Überblick
6. StoreOS — Dropper-Analyse (com.htc.storeos)
7. EventUploadService — Telemetrie (com.htc.eventuploadservice)
8. ExpandSDK — Ad-Injection (com.htc.expandsdk)
9. SilentSDK — Stage-2-Dropper-Analyse (com.hotack.silentsdk)
   • 9.1 Die Malware-Payload (com.me.cash5 — Stage 3)
10. Plugin-Lieferkette (com.me.cash5)
    • Schritt 1: Plugin-Listen-Anfrage (api.pixelpioneerss.com)
    • Schritt 2: Versionskandidaten (PluginDeliveryInfo)
    • Schritt 3: Policy-Info & Geo-Fencing-Regeln
    • Schritt 4: Verschlüsselter Blob-Download
    • Schritt 5: XOR-Entschlüsselung
    • Geo-Fencing-Analyse
    • Sekundäres C2 (in Untersuchung)
11. Die finalen Plugins (Stage 4)
    • com.yj.pickled.radish_v100 — Ad-Fraud-SDK
    • com.hhh.lijng.jaaa_v8 — Jaguar-Botnetz-Client
    • com.amg.mnjk.lilo_v10 — UDP-Proxy-Node
    • com.so.lmax.ccn_v16 — Kommerzielles Proxy-SDK
    • com.falc.tree.alln_v13 — Nativer Proxy-Agent ← Vollständige Analyse
      • Entwickler-Fingerabdruck (Windows-Benutzer 39398, Projekt CxfjShell)
      • libxfjall.so — Dreiphasige C2-Kommunikation
      • Dispatcher-Infrastruktur (inkl. Frankfurt, DE)
      • Persistenzmechanismus
12. System-Backdoors
13. Netzwerk-Forensik
14. Geräte-Spoofing (Build-Fingerprint-Spoofing)
15. Externe Bestätigung
16. Indicators of Compromise (IOCs)
17. MITRE ATT&CK-Mapping
18. Sofortige Gegenmaßnahmen
19. Quellen

Dringlichkeitshinweis

Die in diesem Bericht dokumentierte Malware-Infrastruktur ist werkseitig auf Android-Projektoren vorinstalliert, die derzeit in großen Stückzahlen an Endverbraucher auf Amazon, eBay und AliExpress verkauft werden. Die betroffenen Geräte umfassen möglicherweise mehrere Marken- namen (Hotack, Huyukang, Magcubic, Nonete, unter anderem). Identische C2-Infrastruktur wurde unabhängig auf anderen Geräten desselben Herstellers bestätigt (siehe Abschnitt 13). Das Muster entspricht den BADBOX-Fällen.

---

---

Erworbenes Gerät: Amazon-Link - Nonete Mini Beamer 4K 1080P

---

1. Geräteidentifikation

Eigenschaft	Wert
Markenname	Nonete HY260Pro (Modell wird von mehreren Unternehmen verkauft)
Interner Modellname	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-Bit)
Betriebssystem	SpectraOS (Android 11, Kernel 5.4.99)
Echter Build-Fingerprint	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Gespoofter Build-Fingerprint	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (keine Durchsetzung)
Plattform-Signaturschlüssel	Öffentlicher AOSP-Testschlüssel
Firmware-Kanal	HY260Pro_SpectraOS_TPYB

Hinweis zum Umfang: Der Allwinner-H713-Chipsatz ist in zahlreichen billigen Android-Projektoren verbaut, die unter wechselnden Marken- namen auf dem europäischen Markt verkauft werden. Die identische Firmware-Basis (h713_tuna_p3) und der identische C2-Betreiber (Shenzhen Aodin Technology) legen stark nahe, dass alle Geräte dieses OEMs dieselbe Infrastruktur enthalten.

---

2. Untersuchungs-Workflow