Infraestructura C2 preinstalada y payload RAT en proyectores Android

Informe de análisis técnico — Investigación de seguridad

---

Dispositivos afectados: Múltiples proyectores Android de marcas de proyectores como Nonete (p. ej., modelo HY260Pro) (probablemente también varios proyectores de Magcubic, Hotack, Huyukang y muchas más, ya que estas empresas distribuyen modelos similares y hay indicios que lo respaldan)
Plataforma de chipset: Allwinner H713 / sun50iw12p1 — potencialmente afecta a todos los dispositivos sobre esta plataforma
Período de análisis: 11–17 de abril de 2026 y 15-18 de junio de 2026
Clasificación: Infraestructura de mando y control preinstalada con payload de troyano de acceso remoto

---

TL;DR

• El problema: Numerosos proyectores Android baratos (potencialmente marcas como Magcubic, Hotack, etc., que utilizan el chip Allwinner H713), actualmente vendidos en grandes cantidades en Amazon, eBay y AliExpress, están infectados con malware directamente de fábrica (ataque a la cadena de suministro, similar a los casos "BADBOX").
• El mecanismo: Una aplicación de sistema preinstalada ("StoreOS") actúa como dropper de primera etapa. Descarga e instala silenciosamente "SilentSDK" con máximos privilegios de sistema. SilentSDK, a su vez, instala el PluginManager real ( com.me.cash5), formando una cadena de infección de cuatro etapas:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Marco de trabajo de plugins multifamilia: El PluginManager contacta con api.pixelpioneerss.com y despliega hasta 5 plugins modulares, cada uno con un propósito criminal distinto y dirigido a regiones geográficas específicas. Esto no es un único malware — es una plataforma para ejecutar múltiples familias de malware concurrentes en un solo dispositivo:
  • com.falc.tree.alln — Agente proxy residencial nativo (botnet XFJ/net2fast). Inscribe el dispositivo como nodo de salida, enrutando el tráfico de clientes de pago a través de la conexión a Internet de la víctima. Servidor dispatcher activo confirmado en suelo alemán (Frankfurt, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Cliente de proxy inverso / botnet que se comunica con la infraestructura de syslogcollector.com a través de TLS. Los indicadores son consistentes con la botnet Vo1d, una botnet de Android TV a gran escala conocida y documentada por primera vez en 2023.
  • com.amg.mnjk.lilo — Nodo proxy basado en UDP (o.fecebbbk.xyz:16000). Utiliza un protocolo binario para el túnel de tráfico.
  • com.yj.pickled.radish — SDK de fraude publicitario / fraude de clics (sda-1.xyz:40003). Dirigido exclusivamente a Indonesia, Rusia, México y Brasil. Recibe comandos de control de WebView desde el C2.
  • com.so.lmax.ccn — SDK de proxy P2P comercial con fuerte ofuscación en tiempo de ejecución (descifrado de clave XOR basado en stack-trace). Endpoints resueltos dinámicamente.
• Atribución del desarrollador: Los símbolos de depuración en la librería nativa identifican la máquina Windows del desarrollador (usuario 39398, proyecto CxfjShell, D:\code\Android\CxfjShell). Esto constituye una huella de atribución entre muestras.
• El peligro: El dispositivo está inscrito simultáneamente en múltiples botnets (proxy residencial, Vo1d, fraude publicitario), exfiltra identificadores del dispositivo (MAC, serial, Android ID) a China, y puede ejecutar código arbitrario con privilegios de root en cualquier momento. El dispositivo también incluye backdoors de root abiertos (ADB sin autenticación en el puerto 5555, binario su oculto /system/bin/qw). La infraestructura C2 está totalmente operativa y las reglas de geo-targeting pueden cambiarse del lado del servidor en cualquier momento para ampliar el alcance a cualquier país.
• Mitigación inmediata: Bloquear *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz a nivel de red. Cortafuegos para las IPs del dispatcher 79.127.216.89, 107.151.220.86, 207.166.169.133 en el puerto 12341/TCP. Los usuarios afectados pueden deshabilitar las aplicaciones maliciosas vía ADB.

Tabla de Contenidos

1. Identificación del Dispositivo
2. Flujo de Trabajo de la Investigación
3. Acceso Root — Ruta de Explotación
4. Respuesta del Servidor C2 — Evidencia Central
5. Visión General del Ecosistema de Malware
6. StoreOS — Análisis del Dropper (com.htc.storeos)
7. EventUploadService — Telemetría (com.htc.eventuploadservice)
8. ExpandSDK — Inyección de Anuncios (com.htc.expandsdk)
9. SilentSDK — Análisis del Dropper de Etapa 2 (com.hotack.silentsdk)
   • 9.1 El Payload del Malware (com.me.cash5 — Etapa 3)
10. Cadena de Entrega de Plugins (com.me.cash5)
    • Paso 1: Solicitud de Lista de Plugins (api.pixelpioneerss.com)
    • Paso 2: Candidatos de Versión (PluginDeliveryInfo)
    • Paso 3: Información de Políticas y Reglas de Geo-Fencing
    • Paso 4: Descarga del Blob Cifrado
    • Paso 5: Descifrado XOR
    • Análisis de Geo-Fencing
    • C2 Secundario (Bajo Investigación)
11. Los Plugins Finales (Etapa 4)
    • com.yj.pickled.radish_v100 — SDK de Fraude Publicitario
    • com.hhh.lijng.jaaa_v8 — Cliente de Botnet Jaguar
    • com.amg.mnjk.lilo_v10 — Nodo Proxy UDP
    • com.so.lmax.ccn_v16 — SDK de Proxy Comercial
    • com.falc.tree.alln_v13 — Agente Proxy Nativo ← Análisis Completo
      • Huella del Desarrollador (usuario Windows 39398, proyecto CxfjShell)
      • libxfjall.so — Comunicación C2 en Tres Fases
      • Infraestructura del Dispatcher (incl. Frankfurt, DE)
      • Mecanismo de Persistencia
12. Backdoors del Sistema
13. Forense de Red
14. Suplantación de Dispositivo (Suplantación de Huella de Build)
15. Confirmación Externa
16. Indicadores de Compromiso (IOCs)
17. Mapeo MITRE ATT&CK
18. Mitigaciones Inmediatas
19. Fuentes

Aviso de Urgencia

La infraestructura de malware documentada en este informe está preinstalada en proyectores Android que actualmente se venden en grandes cantidades a consumidores finales en Amazon, eBay y AliExpress. Los dispositivos afectados abarcan posiblemente múltiples nombres de marca (Hotack, Huyukang, Magcubic, Nonete, entre otros). La infraestructura C2 idéntica ha sido confirmada de forma independiente en otros dispositivos del mismo fabricante (ver Sección 13). El patrón coincide con los casos BADBOX.

---

---

Dispositivo Comprado: Enlace de Amazon - Nonete Mini Beamer 4K 1080P

---

1. Identificación del Dispositivo

Propiedad	Valor
Nombre de Marca	Nonete HY260Pro (modelo vendido por múltiples empresas)
Nombre de Modelo Interno	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
Sistema Operativo	SpectraOS (Android 11, Kernel 5.4.99)
Huella de Build Real	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Huella de Build Suplantada	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (sin aplicación)
Clave de Firma de Plataforma	Clave de Prueba Pública AOSP
Canal de Firmware	HY260Pro_SpectraOS_TPYB