Infrastruttura C2 preinstallata e payload RAT su proiettori Android

Rapporto di analisi tecnica — Ricerca sulla sicurezza

---

Dispositivi interessati: Molteplici proiettori Android di marchi come Nonete (ad es., Modello HY260Pro) (probabilmente anche diversi proiettori di Magcubic, Hotack, Huyukang e molti altri, poiché queste aziende distribuiscono modelli simili e ci sono indizi a supporto di ciò)
Piattaforma chipset: Allwinner H713 / sun50iw12p1 — potenzialmente interessa tutti i dispositivi su questa piattaforma
Periodo di analisi: 11–17 aprile 2026 e 15-18 giugno 2026
Classificazione: Infrastruttura di comando e controllo preinstallata con payload di tipo Remote Access Trojan

---

TL;DR

• Il problema: Numerosi proiettori Android economici (potenzialmente marchi come Magcubic, Hotack, ecc., che utilizzano il chip Allwinner H713), attualmente venduti in grandi quantità su Amazon, eBay e AliExpress, sono infetti da malware direttamente dalla fabbrica (attacco alla catena di approvvigionamento, simile ai casi "BADBOX").
• Il meccanismo: Un'app di sistema preinstallata ("StoreOS") funge da dropper di primo stadio. Scarica e installa silenziosamente "SilentSDK" con i massimi privilegi di sistema. SilentSDK a sua volta installa l'effettivo PluginManager ( com.me.cash5), formando una catena di infezione a quattro stadi:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Framework di Plugin Multi-Famiglia: Il PluginManager contatta api.pixelpioneerss.com e distribuisce fino a 5 plugin modulari, ciascuno con uno scopo criminale distinto e mirato a specifiche regioni geografiche. Non si tratta di un singolo malware — è una piattaforma per eseguire più famiglie di malware contemporaneamente su un singolo dispositivo:
  • com.falc.tree.alln — Agente proxy residenziale nativo (botnet XFJ/net2fast). Registra il dispositivo come nodo di uscita, instradando il traffico dei clienti paganti attraverso la connessione internet della vittima. Server dispatcher attivo confermato su suolo tedesco (Francoforte, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Client reverse proxy / botnet che comunica con l'infrastruttura syslogcollector.com tramite TLS. Gli indicatori sono coerenti con la botnet Vo1d, una nota botnet Android TV su larga scala documentata per la prima volta nel 2023.
  • com.amg.mnjk.lilo — Nodo proxy basato su UDP (o.fecebbbk.xyz:16000). Utilizza un protocollo binario per il tunneling del traffico.
  • com.yj.pickled.radish — SDK per frodi pubblicitarie / click-fraud (sda-1.xyz:40003). Prende di mira esclusivamente Indonesia, Russia, Messico e Brasile. Riceve comandi di controllo WebView dal C2.
  • com.so.lmax.ccn — SDK proxy P2P commerciale con pesante offuscamento a runtime (decifratura della chiave XOR basata sullo stack-trace). Endpoint risolti dinamicamente.
• Attribuzione allo Sviluppatore: I simboli di debug nella libreria nativa identificano la macchina Windows dello sviluppatore (username 39398, progetto CxfjShell, D:\code\Android\CxfjShell). Ciò costituisce un'impronta di attribuzione cross-sample.
• Il Pericolo: Il dispositivo è simultaneamente registrato in più botnet (proxy residenziale, Vo1d, ad-fraud), esfiltra identificatori del dispositivo (MAC, seriale, Android ID) verso la Cina, e può eseguire codice arbitrario con privilegi di root in qualsiasi momento. Il dispositivo viene inoltre fornito con backdoor di root aperte (ADB non autenticato sulla porta 5555, binario su nascosto /system/bin/qw). L'infrastruttura C2 è pienamente operativa e le regole di geo-targeting possono essere modificate lato server in qualsiasi momento per estendere la portata a qualsiasi paese.
• Mitigazione Immediata: Bloccare *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz a livello di rete. Bloccare tramite firewall gli IP dei dispatcher 79.127.216.89, 107.151.220.86, 207.166.169.133 sulla porta 12341/TCP. Gli utenti colpiti possono disabilitare le app malevole tramite ADB.

Indice

1. Identificazione del Dispositivo
2. Flusso di Indagine
3. Accesso Root — Percorso di Exploit
4. Risposta del Server C2 — Evidenza Principale
5. Panoramica dell'Ecosistema Malware
6. StoreOS — Analisi del Dropper (com.htc.storeos)
7. EventUploadService — Telemetria (com.htc.eventuploadservice)
8. ExpandSDK — Iniezione Pubblicitaria (com.htc.expandsdk)
9. SilentSDK — Analisi del Dropper di Fase 2 (com.hotack.silentsdk)
   • 9.1 Il Payload del Malware (com.me.cash5 — Fase 3)
10. Catena di Distribuzione dei Plugin (com.me.cash5)
    • Passo 1: Richiesta della Lista dei Plugin (api.pixelpioneerss.com)
    • Passo 2: Candidati di Versione (PluginDeliveryInfo)
    • Passo 3: Informazioni sulla Policy e Regole di Geo-Fencing
    • Passo 4: Download del Blob Cifrato
    • Passo 5: Decifratura XOR
    • Analisi del Geo-Fencing
    • C2 Secondario (In fase di indagine)
11. I Plugin Finali (Fase 4)
    • com.yj.pickled.radish_v100 — SDK per Ad-Fraud
    • com.hhh.lijng.jaaa_v8 — Client Botnet Jaguar
    • com.amg.mnjk.lilo_v10 — Nodo Proxy UDP
    • com.so.lmax.ccn_v16 — SDK Proxy Commerciale
    • com.falc.tree.alln_v13 — Agente Proxy Nativo ← Analisi Completa
      • Impronta dello Sviluppatore (utente Windows 39398, progetto CxfjShell)
      • libxfjall.so — Comunicazione C2 in Tre Fasi
      • Infrastruttura Dispatcher (incl. Francoforte, DE)
      • Meccanismo di Persistenza
12. Backdoor di Sistema
13. Network Forensics
14. Spoofing del Dispositivo (Spoofing del Build-Fingerprint)
15. Conferma Esterna
16. Indicatori di Compromissione (IOC)
17. Mappatura MITRE ATT&CK
18. Mitigazioni Immediati
19. Fonti

Avviso di Urgenza

L'infrastruttura malware documentata in questo report è preinstallata su proiettori Android attualmente venduti in grandi quantità ai consumatori finali su Amazon, eBay e AliExpress. I dispositivi colpiti comprendono probabilmente molteplici nomi di marca (Hotack, Huyukang, Magcubic, Nonete, tra gli altri). Un'infrastruttura C2 identica è stata confermata in modo indipendente su altri dispositivi dello stesso produttore (vedere Sezione 13). Il pattern corrisponde ai casi BADBOX.

---

---

Dispositivo Acquistato: Link Amazon - Nonete Mini Beamer 4K 1080P

---

1. Identificazione del Dispositivo

Proprietà	Valore
Nome della Marca	Nonete HY260Pro (modello venduto da più aziende)
Nome Modello Interno	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
Sistema Operativo	SpectraOS (Android 11, Kernel 5.4.99)
Build Fingerprint Reale	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Build Fingerprint Spoofato	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (nessuna applicazione)
Chiave di Firma Piattaforma	Chiave di Test AOSP Pubblica
Canale Firmware	HY260Pro_SpectraOS_TPYB

Nota sull'ambito: Il chipset Allwinner H713 è integrato in numerosi proiettori Android economici venduti con nomi di marca mutevoli nel mercato europeo. La base firmware identica (h713_tuna_p3) e l'identico operatore C2 (Shenzhen Aodin Technology) suggeriscono fortemente che tutti i dispositivi di questo OEM contengano la stessa infrastruttura.

---

2. Flusso di Indagine