Android प्रोजेक्टरों पर पहले से इंस्टॉल की गई C2 इंफ्रास्ट्रक्चर और RAT पेलोड

तकनीकी विश्लेषण रिपोर्ट — सुरक्षा अनुसंधान

---

प्रभावित डिवाइस: Nonete जैसे प्रोजेक्टर ब्रांडों के कई Android प्रोजेक्टर (जैसे, मॉडल HY260Pro) (संभवतः Magcubic, Hotack, Huyukang और कई अन्य के कई प्रोजेक्टर भी, क्योंकि ये कंपनियाँ समान मॉडल वितरित करती हैं और इसका समर्थन करने वाले संकेत मौजूद हैं)
चिपसेट प्लेटफ़ॉर्म: Allwinner H713 / sun50iw12p1 — संभवतः इस प्लेटफ़ॉर्म के सभी डिवाइस प्रभावित
विश्लेषण अवधि: 11–17 अप्रैल 2026 और 15-18 जून 2026
वर्गीकरण: Remote Access Trojan पेलोड के साथ पहले से इंस्टॉल की गई Command-and-Control इंफ्रास्ट्रक्चर

---

TL;DR

• समस्या: बड़ी संख्या में बिकने वाले सस्ते Android प्रोजेक्टर (संभवतः Magcubic, Hotack जैसे ब्रांड, जो Allwinner H713 चिप का उपयोग करते हैं), जो वर्तमान में Amazon, eBay और AliExpress पर भारी मात्रा में बेचे जा रहे हैं, फैक्ट्री से ही मैलवेयर से संक्रमित हैं (Supply Chain Attack, "BADBOX" मामलों के समान)।
• तंत्र: एक पहले से इंस्टॉल किया गया सिस्टम ऐप ("StoreOS") first-stage dropper के रूप में कार्य करता है। यह चुपचाप अधिकतम सिस्टम विशेषाधिकारों के साथ "SilentSDK" डाउनलोड और इंस्टॉल करता है। SilentSDK बदले में वास्तविक PluginManager ( com.me.cash5) इंस्टॉल करता है, जिससे एक चार-चरणीय संक्रमण श्रृंखला बनती है:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• मल्टी-फैमिली प्लगइन फ्रेमवर्क: PluginManager api.pixelpioneerss.com से संपर्क करता है और 5 मॉड्यूलर प्लगइन तैनात करता है, प्रत्येक एक अलग आपराधिक उद्देश्य की सेवा करता है और विशिष्ट भौगोलिक क्षेत्रों को लक्षित करता है। यह एक एकल मैलवेयर नहीं है — यह एक ही डिवाइस पर कई समवर्ती मैलवेयर परिवारों को चलाने के लिए एक प्लेटफ़ॉर्म है:
  • com.falc.tree.alln — नेटिव रेसिडेंशियल प्रॉक्सी एजेंट (XFJ/net2fast बॉटनेट)। डिवाइस को एक एग्ज़िट नोड के रूप में नामांकित करता है, भुगतान करने वाले ग्राहकों के ट्रैफ़िक को पीड़ित के इंटरनेट कनेक्शन के माध्यम से रूट करता है। जर्मन धरती (फ्रैंकफर्ट, AS60068) पर सक्रिय डिस्पैचर सर्वर की पुष्टि की गई।
  • com.hhh.lijng.jaaa (Jaguar) — रिवर्स प्रॉक्सी / बॉटनेट क्लाइंट जो TLS के माध्यम से syslogcollector.com इंफ्रास्ट्रक्चर के साथ संचार करता है। संकेतक Vo1d बॉटनेट के अनुरूप हैं, जो 2023 में पहली बार प्रलेखित एक ज्ञात बड़े पैमाने के Android TV बॉटनेट है।
  • com.amg.mnjk.lilo — UDP-आधारित प्रॉक्सी नोड (o.fecebbbk.xyz:16000)। ट्रैफ़िक टनलिंग के लिए एक बाइनरी प्रोटोकॉल का उपयोग करता है।
  • com.yj.pickled.radish — विज्ञापन-धोखाधड़ी / क्लिक-धोखाधड़ी SDK (sda-1.xyz:40003)। विशेष रूप से इंडोनेशिया, रूस, मेक्सिको और ब्राज़ील को लक्षित करता है। C2 से WebView नियंत्रण कमांड प्राप्त करता है।
  • com.so.lmax.ccn — व्यावसायिक P2P प्रॉक्सी SDK जिसमें भारी रनटाइम ऑब्फस्केशन (स्टैक-ट्रेस-आधारित XOR कुंजी डिक्रिप्शन) है। एंडपॉइंट्स गतिशील रूप से हल किए जाते हैं।
• डेवलपर एट्रिब्यूशन: नेटिव लाइब्रेरी में डीबग प्रतीक डेवलपर की Windows मशीन की पहचान करते हैं (उपयोगकर्ता नाम 39398, प्रोजेक्ट CxfjShell, D:\code\Android\CxfjShell)। यह एक क्रॉस-सैंपल एट्रिब्यूशन फिंगरप्रिंट का गठन करता है।
• खतरा: डिवाइस एक साथ कई बॉटनेट (रेसिडेंशियल प्रॉक्सी, Vo1d, विज्ञापन-धोखाधड़ी) में नामांकित है, डिवाइस पहचानकर्ताओं (MAC, सीरियल, Android ID) को चीन में एक्सफिल्ट्रेट करता है, और किसी भी समय रूट विशेषाधिकारों के साथ मनमाना कोड निष्पादित कर सकता है। डिवाइस खुले रूट बैकडोर के साथ भी आता है (पोर्ट 5555 पर अनऑथेंटिकेटेड ADB, छिपा हुआ su बाइनरी /system/bin/qw)। C2 इंफ्रास्ट्रक्चर पूरी तरह से चालू है और जियो-टार्गेटिंग नियम किसी भी देश तक पहुंच बढ़ाने के लिए किसी भी समय सर्वर-साइड बदले जा सकते हैं।
• तत्काल शमन: नेटवर्क स्तर पर *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz को ब्लॉक करें। पोर्ट 12341/TCP पर डिस्पैचर IP 79.127.216.89, 107.151.220.86, 207.166.169.133 को फ़ायरवॉल करें। प्रभावित उपयोगकर्ता ADB के माध्यम से दुर्भावनापूर्ण ऐप्स को अक्षम कर सकते हैं।

विषय-सूची

1. डिवाइस पहचान
2. जांच कार्यप्रवाह
3. रूट एक्सेस — एक्सप्लॉइट पथ
4. C2 सर्वर प्रतिक्रिया — मुख्य साक्ष्य
5. मैलवेयर इकोसिस्टम अवलोकन
6. StoreOS — ड्रॉपर विश्लेषण (com.htc.storeos)
7. EventUploadService — टेलीमेट्री (com.htc.eventuploadservice)
8. ExpandSDK — विज्ञापन-इंजेक्शन (com.htc.expandsdk)
9. SilentSDK — स्टेज-2-ड्रॉपर विश्लेषण (com.hotack.silentsdk)
   • 9.1 मैलवेयर पेलोड (com.me.cash5 — स्टेज 3)
10. प्लगइन डिलीवरी चेन (com.me.cash5)
    • चरण 1: प्लगइन सूची अनुरोध (api.pixelpioneerss.com)
    • चरण 2: संस्करण उम्मीदवार (PluginDeliveryInfo)
    • चरण 3: नीति जानकारी और जियो-फेंसिंग नियम
    • चरण 4: एन्क्रिप्टेड ब्लॉब डाउनलोड
    • चरण 5: XOR डिक्रिप्शन
    • जियो-फेंसिंग विश्लेषण
    • द्वितीयक C2 (जांच के अधीन)
11. अंतिम प्लगइन (स्टेज 4)
    • com.yj.pickled.radish_v100 — विज्ञापन-धोखाधड़ी SDK
    • com.hhh.lijng.jaaa_v8 — Jaguar बॉटनेट क्लाइंट
    • com.amg.mnjk.lilo_v10 — UDP प्रॉक्सी नोड
    • com.so.lmax.ccn_v16 — व्यावसायिक प्रॉक्सी SDK
    • com.falc.tree.alln_v13 — नेटिव प्रॉक्सी एजेंट ← पूर्ण विश्लेषण
      • डेवलपर फिंगरप्रिंट (Windows उपयोगकर्ता 39398, प्रोजेक्ट CxfjShell)
      • libxfjall.so — तीन-चरणीय C2 संचार
      • डिस्पैचर इंफ्रास्ट्रक्चर (फ्रैंकफर्ट, DE सहित)
      • पर्सिस्टेंस तंत्र
12. सिस्टम बैकडोर
13. नेटवर्क फोरेंसिक
14. डिवाइस स्पूफिंग (बिल्ड-फिंगरप्रिंट स्पूफिंग)
15. बाहरी पुष्टि
16. समझौता के संकेतक (IOCs)
17. MITRE ATT&CK मैपिंग
18. तत्काल शमन
19. स्रोत

तात्कालिकता सूचना

इस रिपोर्ट में प्रलेखित मैलवेयर इंफ्रास्ट्रक्चर वर्तमान में Amazon, eBay और AliExpress पर अंत उपभोक्ताओं को बड़ी मात्रा में बेचे जा रहे Android प्रोजेक्टरों पर पूर्व-स्थापित है। प्रभावित डिवाइस संभवतः कई ब्रांड नामों (Hotack, Huyukang, Magcubic, Nonete, अन्य के बीच) में फैले हुए हैं। समान C2 इंफ्रास्ट्रक्चर की स्वतंत्र रूप से उसी निर्माता के अन्य डिवाइसों पर पुष्टि की गई है (धारा 13 देखें)। यह पैटर्न BADBOX मामलों से मेल खाता है।

---

---

खरीदा गया डिवाइस: Amazon लिंक - Nonete Mini Beamer 4K 1080P

---

1. डिवाइस पहचान

प्रॉपर्टी	मान
ब्रांड नाम	Nonete HY260Pro (कई कंपनियों द्वारा बेचा जाने वाला मॉडल)
आंतरिक मॉडल नाम	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
ऑपरेटिंग सिस्टम	SpectraOS (Android 11, Kernel 5.4.99)
वास्तविक बिल्ड फिंगरप्रिंट	Allwinner/h713_tuna_p3/h713-tuna_p3:11
स्पूफ्ड बिल्ड फिंगरप्रिंट	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (कोई प्रवर्तन नहीं)
प्लेटफ़ॉर्म साइनिंग कुंजी	सार्वजनिक AOSP टेस्ट कुंजी
फर्मवेयर चैनल	HY260Pro_SpectraOS_TPYB

दायरे पर नोट: Allwinner H713 चिपसेट यूरोपीय बाजार में बदलते ब्रांड नामों के तहत बेचे जाने वाले कई सस्ते Android प्रोजेक्टरों में निर्मित है। समान फर्मवेयर आधार (h713_tuna_p3) और समान C2 ऑपरेटर (Shenzhen Aodin Technology) दृढ़ता से सुझाव देते हैं कि इस OEM के सभी डिवाइसों में समान इंफ्रास्ट्रक्चर है।

---

2. जांच कार्यप्रवाह