Infrastructure C2 préinstallée et charge utile RAT sur des projecteurs Android

Rapport d'analyse technique — Recherche en sécurité

---

Appareils concernés : Plusieurs projecteurs Android de marques telles que Nonete (par exemple, modèle HY260Pro) (probablement également plusieurs projecteurs de Magcubic, Hotack, Huyukang et bien d'autres, car ces entreprises distribuent des modèles similaires et il existe des indices allant dans ce sens)
Plateforme de puce : Allwinner H713 / sun50iw12p1 — affecte potentiellement tous les appareils sur cette plateforme
Période d'analyse : 11–17 avril 2026 et 15-18 juin 2026
Classification : Infrastructure de commande et contrôle préinstallée avec charge utile de cheval de Troie d'accès à distance

---

TL;DR

• Le problème : De nombreux projecteurs Android bon marché (potentiellement des marques comme Magcubic, Hotack, etc., utilisant la puce Allwinner H713), actuellement vendus en quantités massives sur Amazon, eBay et AliExpress, sont infectés par un malware directement depuis l'usine (attaque par chaîne d'approvisionnement, similaire aux cas « BADBOX »).
• Le mécanisme : Une application système préinstallée (« StoreOS ») agit comme un dropper de premier étage. Elle télécharge et installe silencieusement « SilentSDK » avec les privilèges système maximaux. SilentSDK installe à son tour le véritable PluginManager ( com.me.cash5), formant une chaîne d'infection à quatre étages :

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Framework de plugins multi-familles : Le PluginManager contacte api.pixelpioneerss.com et déploie jusqu'à 5 plugins modulaires, chacun servant un objectif criminel distinct et ciblant des régions géographiques spécifiques. Il ne s'agit pas d'un seul malware — c'est une plateforme permettant d'exécuter plusieurs familles de malwares simultanément sur un seul appareil :
  • com.falc.tree.alln — Agent proxy résidentiel natif (botnet XFJ/net2fast). Enrôle l'appareil comme nœud de sortie, routant le trafic de clients payants via la connexion internet de la victime. Serveur dispatcher actif confirmé sur le sol allemand (Francfort, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Client proxy inverse / botnet communiquant avec l'infrastructure syslogcollector.com via TLS. Les indicateurs sont cohérents avec le botnet Vo1d, un botnet Android TV à grande échelle connu, documenté pour la première fois en 2023.
  • com.amg.mnjk.lilo — Nœud proxy basé sur UDP (o.fecebbbk.xyz:16000). Utilise un protocole binaire pour le tunneling du trafic.
  • com.yj.pickled.radish — SDK de fraude publicitaire / fraude au clic (sda-1.xyz:40003). Cible exclusivement l'Indonésie, la Russie, le Mexique et le Brésil. Reçoit des commandes de contrôle WebView depuis le C2.
  • com.so.lmax.ccn — SDK proxy P2P commercial avec forte obfuscation à l'exécution (déchiffrement de clé XOR basé sur les stack traces). Points de terminaison résolus dynamiquement.
• Attribution du développeur : Les symboles de débogage dans la bibliothèque native identifient la machine Windows du développeur (nom d'utilisateur 39398, projet CxfjShell, D:\code\Android\CxfjShell). Cela constitue une empreinte d'attribution inter-échantillons.
• Le danger : L'appareil est simultanément enrôlé dans plusieurs botnets (proxy résidentiel, Vo1d, fraude publicitaire), exfiltre les identifiants de l'appareil (MAC, numéro de série, Android ID) vers la Chine, et peut exécuter du code arbitraire avec les privilèges root à tout moment. L'appareil est également livré avec des backdoors root ouvertes (ADB non authentifié sur le port 5555, binaire su caché /system/bin/qw). L'infrastructure C2 est pleinement opérationnelle et les règles de ciblage géographique peuvent être modifiées côté serveur à tout moment pour étendre la portée à n'importe quel pays.
• Atténuation immédiate : Bloquez *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz au niveau réseau. Filtrez les IP du dispatcher 79.127.216.89, 107.151.220.86, 207.166.169.133 sur le port 12341/TCP. Les utilisateurs affectés peuvent désactiver les applications malveillantes via ADB.

Table des matières

1. Identification de l'appareil
2. Flux d'investigation
3. Accès root — Chemin d'exploitation
4. Réponse du serveur C2 — Preuves essentielles
5. Aperçu de l'écosystème malveillant
6. StoreOS — Analyse du dropper (com.htc.storeos)
7. EventUploadService — Télémétrie (com.htc.eventuploadservice)
8. ExpandSDK — Injection publicitaire (com.htc.expandsdk)
9. SilentSDK — Analyse du dropper de stage 2 (com.hotack.silentsdk)
   • 9.1 La charge malveillante (com.me.cash5 — Stage 3)
10. Chaîne de livraison des plugins (com.me.cash5)
    • Étape 1 : Requête de liste de plugins (api.pixelpioneerss.com)
    • Étape 2 : Candidats de version (PluginDeliveryInfo)
    • Étape 3 : Informations de politique et règles de géo-restriction
    • Étape 4 : Téléchargement du blob chiffré
    • Étape 5 : Déchiffrement XOR
    • Analyse de la géo-restriction
    • C2 secondaire (en cours d'investigation)
11. Les plugins finaux (Stage 4)
    • com.yj.pickled.radish_v100 — SDK de fraude publicitaire
    • com.hhh.lijng.jaaa_v8 — Client botnet Jaguar
    • com.amg.mnjk.lilo_v10 — Nœud proxy UDP
    • com.so.lmax.ccn_v16 — SDK proxy commercial
    • com.falc.tree.alln_v13 — Agent proxy natif ← Analyse complète
      • Empreinte du développeur (utilisateur Windows 39398, projet CxfjShell)
      • libxfjall.so — Communication C2 en trois phases
      • Infrastructure du dispatcher (dont Francfort, DE)
      • Mécanisme de persistance
12. Backdoors système
13. Forensique réseau
14. Usurpation d'appareil (usurpation d'empreinte de build)
15. Confirmation externe
16. Indicateurs de compromission (IOC)
17. Cartographie MITRE ATT&CK
18. Atténuations immédiates
19. Sources

Avis d'urgence

L'infrastructure malveillante documentée dans ce rapport est préinstallée sur des projecteurs Android actuellement vendus en grande quantité aux consommateurs finaux sur Amazon, eBay et AliExpress. Les appareils affectés couvrent possiblement plusieurs noms de marque (Hotack, Huyukang, Magcubic, Nonete, entre autres). Une infrastructure C2 identique a été confirmée indépendamment sur d'autres appareils du même fabricant (voir Section 13). Le schéma correspond aux cas BADBOX.

---

---

Appareil acheté : Lien Amazon - Nonete Mini Beamer 4K 1080P

---

1. Identification de l'appareil

Propriété	Valeur
Nom de marque	Nonete HY260Pro (modèle vendu par plusieurs sociétés)
Nom de modèle interne	NT10
SoC	Allwinner sun50iw12p1 (ARM 32 bits)
Système d'exploitation	SpectraOS (Android 11, Kernel 5.4.99)
Empreinte de build réelle	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Empreinte de build usurpée	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (aucune application)
Clé de signature de plateforme	Clé de test AOSP publique
Canal de firmware	HY260Pro_SpectraOS_TPYB