## 2. 侵入

ADB がネットワーク上で、非標準ポートで、認証プロンプトなし、かつ root 権限で待ち受けている。```
# 1. Find open ports (projector on an isolated network)
nmap -p- 10.56.215.10
#   5868/tcp open   <- nmap guesses "diameters"; it is actually adbd

# 2. Confirm from the device side (e.g. via Termux on the projector)
getprop service.adb.tcp.port   # 5868
getprop ro.adb.secure          # 0    -> no "allow debugging?" prompt
getprop init.svc.adbd          # running

# 3. Connect from a computer
adb connect 10.56.215.10:5868
adb root
adb shell id                   # uid=0(root)

`/sys/class/backlight/tv` > `brightness`/`bl_power` は効果がありません。

## 3. 感染チェーン

2つのプリインストールされたシステムアプリが system ユーザー（UID 1000）として実行されます。一方がローダーをダウンロードし、ローダーが4つのプロキシモジュールと2つ目の独立したローダーをダウンロードします。```
Firmware (preinstalled, UID 1000)
├─ com.android.sysapp          /system/priv-app/AshdSysApp
│    OTA updater, can replace the whole firmware (update.zip / payload.bin)
│    C2: wjtysj.ishanghd.com/hx_kt.php
│
└─ com.android.umanalytics.yiyou /system/app/AndroidAnalytics_yiyou
     Dropper; Umeng + Baidu tracking
     └─ downloads cache/plugin.jar       (DEX, from *.ishanghd.com)
          ├─ app installer: pulls app lists per device profile, pm install -r
          │    └─ installs Disney+ etc. and com.google.adtest (payload)
          └─ "hs" task loader, C2 api.loritor.cc / api.nizero.cc, every 6 h
               └─ 4 encrypted modules  code_cache/.hs/.file/.rf/*.rf
                    SKN0041 com.ad.proxy   SKN0054 com.szns.sdk
                    SKN0058 com.link.core  SKN0061 ddth2 (VpsSdk)
                    -> all four: residential proxy clients

com.google.adtest (/data/app, installed by yiyou)
     Second loader "com.speed", own C2 (api.logobi.cc, api.pechlo.cc, ...)
     Native plugin loader, may install/delete packages -> backup channel

### **b) 誰が何をインストールしたか**```bash
adb shell pm list packages -i | grep -v 'installer=null\|com.android.vending'
# package:com.google.adtest       installer=com.android.umanalytics.yiyou  <- payload
# package:com.disney.disneyplus   installer=com.android.umanalytics.yiyou  <- cover
#  -> a system "analytics" app installing packages = dropper

adb shell dumpsys package com.google.adtest | grep -E 'codePath|firstInstallTime'
#  fake Google name, lives in /data/app, installed silently

### **d) システムレベルのセットアップ**```bash
adb shell getprop ro.product.model
# ADT-3 (spoofed)
adb shell dumpsys package com.android.sysapp | grep sharedUser
# android.uid.system  -> runs with system privileges
adb shell dumpsys package com.android.sysapp | grep -E 'INSTALL_PACKAGES|RECOVERY|MASTER_CLEAR'
# unnamed OEM app that may install apps, flash firmware and wipe the device
adb shell cat /system/etc/init/qw.rc
# service qw /system/bin/qw --daemon  user root

### **f) ベンダー署名済みの読み取り専用システムイメージ内のマルウェア**

ユーザーや後からインストールされたアプリは `/system` にファイルを配置できません。これは `super` の一部であり、dm-verity で保護され、`vbmeta` を通じて署名されています。

## 5. マルウェアアーキテクチャの概要

### 5.1. 主要コンポーネント

| コンポーネント                         | 場所                     | 動作                                                                                                    |
| --------------------------------- | ---------------------------- | --------------------------------------------------------------------------------------------------------------- |
| `com.android.umanalytics.yiyou`   | `/system/app`、UID 1000      | `plugin.jar` をダウンロードして実行。シリアル、MAC、android_id、Wi-Fi SSID/BSSID、Bluetooth MAC を Umeng/Baidu に送信 |
| `plugin.jar` (DEX)                | yiyou `cache/`               | 2つの部分: アプリインストーラー（デバイスごとのアプリリスト、H713/RK3326/HY300 用の40以上のプロファイル）と「hs」タスクローダー    |
| 「hs」タスクローダー                  | `plugin.jar` 内          | 6時間ごとに C2 をポーリングして `jar`、`dex`、`apk` タイプのタスクを取得。ダウンロード、MD5 チェック、実行                     |
| SKN0041 `com.ad.proxy`            | `.rf` モジュール                | TCP/UDP/ICMP トンネリング、ハートビート、サインイン/レポート                                                              |
| SKN0054 `com.szns.sdk`            | `.rf` モジュール                | プロキシノードとあなたのネットワークからの UDP スキャン                                                                  |
| SKN0058 `com.link.core`           | `.rf` モジュール                | 独自の DNS リゾルバを持つプロキシクライアント                                                                         |
| SKN0061 `ddth2` / VpsSdk          | `.rf` モジュール                | プロキシゲートウェイ、多数の並列クライアントインスタンス                                                                   |
| `com.google.adtest` (「com.speed」) | `/data/app`                  | ネイティブプラグインローダーを備えた2番目のローダー。パッケージのインストール/削除。起動、ネットワーク、HDMI、電源イベントで再起動 |
| `com.android.sysapp`              | `/system/priv-app`、UID 1000 | OTA アップデーター: 完全なファームウェアイメージをダウンロードしてフラッシュ可能                                                       |
| Widevine ファイル                    | `/data/mediadrm/IDM1013/L3/` | `plugin.jar` が DRM キー/ライセンスバンドルをドロップし、未認証デバイスでストリーミングアプリが動作するようにする                     |

### 5.2. 各部分がどのように隠されているか```
# C2 hostnames are not in plain text: gzip + Base64 + AES-CFB with a hardcoded key.
#   decrypted: api.loritor.cc (master), api.nizero.cc (slave)
# DNS is resolved via DNS-over-HTTPS (dns.google, cloudflare-dns.com, doh.pub, 223.5.5.5)
#   -> router DNS blocking alone misses it
# .rf module layout (per file):
#   [version][...][salt:32 bytes][invocation: AES][module: AES][DSA signature]
#   invocation = {"cn":"com.hotota.p.d.MainApi","m_init":"start_W00xx","m_uninit":"stop"}
#   module     = an APK whose classes.dex is loaded with DexClassLoader
# Modules are signed, so only the operator can push new ones.

### 5.4. ラテラルムーブメント

**自動的なラテラルムーブメントはないが、LANへの扉はある**

> しかし **SKN0041** と **SKN0058** はゲートウェイが指定する任意のターゲットへリレーし、SKN0041 はコマンドでそれを ping することもできる。プロキシをレンタルした者は誰でも、手動で LAN に到達したり探索したりできる。

- `plugin.jar`
- 復号された `.rf` モジュール SKN0041/54/58/61
- `com.google.adtest`、yiyou、sysapp
- `com.android.nfx` (NFXAccessibility)
- ネイティブ: `qw`、`systemmixservice`、`libsystemmix_jni.so`、`libsystemmixservice.so````bash
grep -rlE 'ServerSocket|DatagramSocket|MulticastSocket|NetworkInterface|getDhcpInfo|/proc/net/arp|239\.255\.255\.250|224\.0\.0\.251|:5555|telnet|isReachable|NsdManager|JmDNS|UPnP|Cling|SSDP|WifiP2pManager|getBroadcast|broadcastAddress|SubnetMask|prefixLength|getLinkAddresses|InterfaceAddress' analysis/decompiled/*/sources
grep -rlE 'Runtime\.getRuntime\(\)\.exec|ProcessBuilder' analysis/decompiled/*/sources

|| str.matches("^192\\.168\\..*") || str.matches("^127\\..*")

SKN0041 の全コマンドセット（`com/ad/proxy/b/a0.java` のディスパッチテーブルより）：

| Opcode | ハンドラ   | 動作                                                                               |
| ------ | ---------- | ---------------------------------------------------------------------------------- |
| 1 / 2  | U / V      | ハートビート要求 / 応答                                                       |
| 3      | W          | オペレータ指定の host:port への生 TCP 接続を開く。アドレスチェックなし     |
| 5 / 7  | X / Y      | 開いているトランザクションに対する tcp send / close                                            |
| 8      | Z          | オペレータ指定の host:port への生 UDP セッションを開く。アドレスチェックなし        |
| 11     | K          | udp close                                                                          |
| 12     | L → P.java | オペレータ指定のホストで `ping -c 10 <host>` を実行し、全出力を中継する |
| 14     | M → Q.java | オペレータ指定の URL を取得する。チェックなし                                         |

これらのオペコードはいずれも IP 範囲によるフィルタリングを行わない。

`plugin.jar` の映像再ストリームサーバ（`com.cloudmedia.tv.server.d`、Aiqiyi/Youku/CIBN のストリーム書き換えを提供する NanoHTTPD フォーク）は、ホストを設定せずにバインドする。つまり、起動すれば localhost だけでなく全インターフェースで LAN から到達可能となる。その唯一のエントリポイントは `ParserUtils.AnalyticsHelper()` であり、`getprop ro.board.platform == "rk3188"` の背後にある。本機は `ares`（H713）を報告するため、ゲートは閉じたままである。

実機の状態：`netstat -tnp` にはループバックのスクリーンキャスト（`com.android.toofifi`、`127.0.0.1:5354`）、IPv6 経由の Google への GMS、および ADB セッションのみが表示される。`yiyou`、`sysapp`、`speed`、`umanalytics`、`adtest` のいずれのプロセスも実行されていない。

`systemmixservice` の Binder インターフェース（root としての任意のファイル読み書き/削除およびプロパティ設定が可能で、デバイス上の任意のアプリから到達可能）はローカルの権限昇格である。ドロッパーを削除し、信頼できない APK をインストールしなければ、この経路は閉じられる。

## 6. インジケータ

ネットワークインジケータ（ドメイン、URL、IP）は[セクション 11](#11-consolidated-hosturl-list-for-abuse-reports)にある。

### 6.1. パッケージ

| パッケージ                                                         | 場所                                                | 役割                                                             |
| --------------------------------------------------------------- | ------------------------------------------------------- | ---------------------------------------------------------------- |
| `com.android.umanalytics.yiyou`                                 | `/system/app/AndroidAnalytics_yiyou`、UID 1000（system） | ドロッパー                                                          |
| `com.android.sysapp`（AshdSysApp）                               | `/system/priv-app/AshdSysApp`、UID 1000（system）        | OTA チャネルバックドア                                             |
| `com.google.adtest`（実名 `com.fotas.wanapp`、"com.speed"） | `/data/app`                                             | セカンドローダー                                                    |
| `com.cloudmedia.testapk`                                        | `/system/app`                                           | OEM 工場テストアプリ。セクション 8 でドロッパーとともに削除 |
| `com.disney.disneyplus`                                         | `/data/app`                                             | ドロッパーがインストールしたカバーアプリ                               |
| `com.android.nfx`                                               | `/system/priv-app/NFXAccessibility`                     | 保持、無害（Netflix リモコンヘルパー）                   |

### 6.2.バイナリ

| バイナリ                                                                             | Init サービス                                                                          | 動作                                                                                                                                                                                                                                                                                  |
| ---------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `/system/bin/qw`                                                                   | **`qw`**: `class core`、`user root`、起動時から常駐                       | Superuser/ClockworkMod su デーモン（`/dev/com.koushikdutta.superuser` + `.daemon` ソケットを開く）。                                                                                                                                                                                               |
| `/system/bin/appsdisable`                                                          | **`appsdisable`**: `on property:sys.boot_completed=1` でトリガー、`disabled`+`oneshot` | 起動時の 4 秒スリープ後（`settings ... global start_disable`）、コンポーネントが `com.google.android` で始まる `BOOT_COMPLETED` レシーバを持つインストール済みパッケージをすべて検出し、`pm disable` して Play Protect スキャンや GMS コアサービスなど Google 自身の起動時チェックを停止させる。 |
| `/system/bin/gmsopt`                                                               | **`gmsopt`**: appsdisable と同じトリガーとフラグ                                   | appsdisable と同じ Google 起動レシーバ無効化動作だが、`com.google.android.permissioncontroller` を除外する。冗長。                                                                                                                                                                |
| `/system/bin/systemmixservice`（+ `libsystemmix_jni.so`、`libsystemmixservice.so`） | **`systemmix`**: `class main`、`user root`、`oneshot`                                 | OEM ネイティブ？目的は完全には特定されていないが root グループである。                                                                                                                                                                                                                                   |

### 6.3. ファイルとディレクトリ

| パス                                                                                                                                                                          | 内容                                                     |
| ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------- |
| `/data/data/com.android.umanalytics.yiyou/cache/plugin.jar`                                                                                                                   | ダウンロードされた "hs" ローダー / アプリインストーラ DEX               |
| `/data/data/com.android.umanalytics.yiyou/code_cache/.hs/.file/.rf/*.rf`                                                                                                      | 暗号化されたプロキシモジュール（SKN0041/54/58/61）               |
| `/data/data/com.android.umanalytics.yiyou/files/apps/com.google.adtest.apk`                                                                                                   | サイレント再インストール用に保存されたペイロードのコピー                 |
| `/data/data/com.android.umanalytics.yiyou/files/libcuid.so`                                                                                                                   | デバイス ID ヘルパーネイティブライブラリ                          |
| `/data/data/com.android.umanalytics.yiyou/databases/ua.db`                                                                                                                    | Umeng セッション DB                                         |
| `/data/data/com.android.umanalytics.yiyou/shared_prefs/{info.xml, umeng_*.xml, hs.prefs_1.xml, hs.cuid.v1.xml, vps_sdk_prefs.xml, Plugin.xml, baidu_mtj_sdk_record.xml, ...}` | トラッキング/設定 prefs                                    |
| `/data/data/com.android.sysapp/shared_prefs/SHARE.xml`                                                                                                                        | OTA ダウンロード状態 prefs                                 |
| `/data/mediadrm/IDM1013/L3/`                                                                                                                                                  | ドロップされた Widevine L3 DRM バンドル                           |
| `/data/local/tmp/*`、`/data/ota_package/tmp/*`                                                                                                                                | ローダーと OTA クライアントが使用するスクラッチ/残存領域 |

### 6.4. サンプルハッシュ

| サンプル                          | SHA-256                                                            |
| ------------------------------- | ------------------------------------------------------------------ |
| `plugin.jar`                    | `e2e5f86df18e0cdef9595bd886280f158001250f1565fa3e6dfe492b114be6f7` |
| SKN0041（復号済み）             | `d7b26e53ade1cfcd283bfbbc5de7f792e8f8d441d74162eeef7e8a7c83ed5dba` |
| SKN0054（復号済み）             | `ba3b320791b80dae25d07e17e43d4b11b5c5a0d8b989fdb4a7f47ccb39201307` |
| SKN0058（復号済み）             | `60ade80fcd0a1c5bb3f62e76cd056b0e8034fdbe1e9834c335c0e60d99d12742` |
| SKN0061（復号済み）             | `fcffed775c6d6967bd40e4fa5b529f9fd301b3ebd64a555c756943d1e863fea7` |
| `com.google.adtest.apk`         | `1298662eb6d087aa1e6f967d50581e998b5897ec1563bdf96589540845874110` |
| `AndroidAnalytics_yiyou.apk`    | `c4910d6fa666eff03bdc683423f7f2585cb263f8dcbf5f1fe7a1e2643eb384aa` |
| `AshdSysApp.apk`                | `f9cd44d359c9b0c92ddb8b868665a3e8edd54a19cc21a35fb2fba7dbdf36bb5a` |
| `L3.zip`（Widevine バンドル）      | `8367725743c27ed1fd49d5eb086e7b260cfcf38a825a8892ce31b45e767e228f` |
| `favorite.ico`（SKN0054 設定） | `8d64d2982f8f5cb01ad1bbce53861e09eae2884fe8c545ac9023b636c8f5ffa2` |

## 7. バックアップ

このモデルのファームウェアは公開されていないようで、リバースエンジニアリングしたベンダー OTA サーバも何も返さない。```
# Simple one-shot dump (fine over USB; over Wi-Fi it can stall)
adb exec-out "dd if=/dev/block/mmcblk0 bs=4M 2>/dev/null" > mmcblk0.img
adb shell 'ls /dev/block/mmcblk0boot*'      # eMMC boot areas, dump them too if present

### 復元パス

Allwinner FELに入り、USB-A to USB-Aケーブル経由でPhoenixUSBProを使ってフラッシュします。

FELで起動するための外部ピンホールはありません: `adb reboot efex` または `fastboot oem efex`。

考えられるハードウェアフォールバック: ボード上のFELパッド。FCC内部写真で確認できます（ケースを開ける必要があります）。フラッシュにはIMAGEWTY `update.img` が必要で、これはあなたのダンプから `awimg.py`（[well0nez/magcubic-root](https://github.com/well0nez/magcubic-root)）とH713テンプレートを使ってビルドします。

FELは書き込み専用です。PhoenixSuitとPhoenixUSBProはeMMCを読み戻すことができず、`sunxi-fel` にはH713用のSRAMレイアウトがなく、読み取り専用コマンドのみが動作します（[sunxi-tools #226](https://github.com/linux-sunxi/sunxi-tools/issues/226)）。

上記のADBダンプが引き続きバックアップ方法です。

### **ブートモード**

このユニットはA/B（`ro.build.ab_update=true`）で、スロット `_b` がアクティブです。`recovery` パーティションは存在しません: リカバリはブートramdisk内にあります。U-Bootシリアルコンソールは `ttyS0`、115200ボーです。

| モード            | 入り方                                                                                                 | レベル                 | ステータス                                                                                      |
| --------------- | ------------------------------------------------------------------------------------------------------------ | --------------------- | ------------------------------------------------------------------------------------------- |
| Android         | 通常の電源投入、`adb reboot`                                                                                | kernel                | 動作                                                                                       |
| Recovery        | `adb reboot recovery`                                                                                        | boot ramdisk          | 動作、メニューは下記                                                                           |
| fastbootd       | recoveryメニュー: Enter fastboot                                                                                | userspace in recovery | 入れる                                                                                      |
| U-Boot fastboot | recoveryメニュー: Reboot to bootloader、または `adb reboot bootloader`                                              | U-Boot                | 動作（macOSは下記の修正が必要）                                                           |
| U-Boot efex     | U-Boot fastbootから `fastboot oem efex`、または `adb reboot efex`（U-Bootには `ir-efex` リモートトリガーもあります） | U-Boot                | `fastboot oem efex` 経由および `adb reboot efex` 経由で動作: `1f3a:efe8`、FELハンドシェイクが応答 |
| BootROM FEL     | FELテストパッド                                                                                                 | SoC BootROM           | 未テスト                                                                                    |

### **リカバリメニュー:**

- Reboot system now
- Reboot to bootloader
- Enter fastboot
- Apply update from ADB
- Apply update from SD card
- Wipe data/factory reset
- Mount /system
- View recovery logs
- Run graphics test
- Run locale test
- Enter rescue
- Power off

### **ADB over USB**

USB0（`ohci0`）を受け持つソケットはデフォルトでホストとして動作します。次の再起動までデバイスモードに切り替わります:```
adb shell cat /sys/devices/platform/soc@2900000/soc@2900000:usbc0@0/usb_device
adb -d shell id

### **FEL/efex**

U-Boot fastboot から、`fastboot oem efex` で efex ガジェット `1f3a:efe8` に切り替わります。（同じ `set_configuration()` の修正が必要かもしれません）

**Sunxi-tools をソースからビルド**```
# one-time: build sunxi-fel
brew install libusb dtc pkg-config
git clone https://github.com/linux-sunxi/sunxi-tools
cd sunxi-tools && make sunxi-fel
sudo cp sunxi-fel /usr/local/bin/   # optional, else call ./sunxi-fel

# enter efex and check the handshake (read-only)
fastboot oem efex
source ~/venvs/fastboot/bin/activate
python3 -c 'import usb.core; usb.core.find(idVendor=0x1f3a,idProduct=0xefe8).set_configuration()'
sunxi-fel --list --verbose
sunxi-fel version

### 8.2. 削除```
# System apps (UID 1000): cannot be deleted from /system without a firmware rebuild.
# Stop, disable, wipe data for user 0 -> inert for the running system, survives reboots.
for p in com.android.umanalytics.yiyou com.android.sysapp com.cloudmedia.testapk; do
  adb shell am force-stop $p
  adb shell pm disable-user --user 0 $p
  adb shell pm clear $p
done

adb shell pm uninstall com.google.adtest

# I removed this too for safety
adb shell pm uninstall com.disney.disneyplus

# Leftovers
adb shell 'rm -rf /data/local/tmp/* /data/ota_package/tmp/*'

adb reboot

**クリーンアップと再起動後の本ユニットでの結果:**```
adb shell "netstat -tnp"
# tcp   127.0.0.1:52992  127.0.0.1:5354  ESTABLISHED 3351/com.android.toofifi  <- local screen-cast service
# tcp   127.0.0.1:52994  127.0.0.1:5354  ESTABLISHED 3351/com.android.toofifi
# tcp6  10.56.215.10:5868  <your computer>  ESTABLISHED 5332/adbd              <- your ADB session
#  -> no outbound connections left (before: ~25 from yiyou)

### 8.5. ブロートウェア```
adb shell pm disable-user --user 0 com.android.toofifi
adb shell pm disable-user --user 0 com.toofifi.lineserver
adb shell pm disable-user --user 0 com.toofifi.miracast
adb shell pm disable-user --user 0 com.mphotool.usbcastserver
adb shell pm disable-user --user 0 com.rockchip.devicetest

Apache `HttpPost` 経由で空のフォームボディ。すべてはクエリ文字列内にあるため、GET と POST は等価であり、署名/トークンもない。ライブでリプレイ（2026‑09‑26）：`{"code":200,"data":[]}`、この productid にはどのバージョンを試してもパッケージが存在しないようだ。

### 9.2 ドロッパー

`com.android.umanalytics.yiyou`

**自己更新**（`http.utils.UpdateUtils.checkUpdate`）
`GET http://ty.ishanghd.com/work/app/wj/factory/update.json` が `MD5` と `VersionCode` を含む `DownLoadURL` を配信し、それがダウンロードされ、MD5 チェックされ、`PkgUtils.install(path, 1)` でサイレントに自己置換される。

**`plugin.jar` 取得**（`MyService`）
`GET http://isdownload.ishanghd.com/work/app/wj/plugin/infos_9269.json` が `plugin.jar` を配信し、それが `<cache>/plugin.jar` にダウンロードされ、`DexClassLoader` でロードされる。`com.anlytics.plug.ParserUtils.AnalyticsHelper("test")` がエントリポイントである。

**デバイスごとのアプリリストプロファイル**
これらはキャンペーン内の各デバイス用のカスタムアプリである（おそらく DRM を回避するためにパッチが当てられている？）

`com.anlytics.plug.b` はボード（`ro.board.platform`、`persist.sys.cm.dtsmodel`、`ro.sys.cputype`、`ro.build.version.release`、インストール済みパッケージ、`/system/etc/voice.tar.gz` などのファイル）を 40 個のハードコードされたプロファイルと照合し、`com.tools.a` 内の定数から適合する `appsinfo/.../infos*.json` URL を選択する。

このユニットは `com.ashd.launcher10` を搭載し、`persist.sys.cm.dtsmodel=AT-M269` / ボード `ares` を報告し、テーブル内で唯一の H713 "launcher10" プロファイルは：```
http://ty.ishanghd.com/work/app/wj/appsinfo/H713_ASHD/H713_GBPT_HY300A_720P/infos_launcher10.json

def detect_rule(event, rules):
    for rule in rules:
        if event.get("eventName") in rule.get("event_names", []):
            return rule
    return None

python3 main.py --detect --format json

{
  "critical": [
    {
      "eventName": "DeleteTrail",
      "eventTime": "2024-01-15T10:30:00Z",
      "userIdentity": {
        "arn": "arn:aws:iam::123456789012:user/alice"
      }
    }
  ],
  "high": [],
  "medium": [],
  "low": []
}
``````json
date	20240819
description	"1、优化网络访问\n2、增强系统稳定性。"
appInfos
0
appVersionCode	425
appName	"uninstall"
appPkgName	"com.netflix.ninja"
appMd5	"3D3EC4CAA09F68170EB0ADC5A92AC018"
appUrl	"http://isdownload.ishanghd.com/work/app/wj/app/rk3326/Netflix_425.apk"
1
appVersionCode	84
appName	"launcher10"
appPkgName	"com.ashd.launcher10"
appMd5	"3AA639AE6850189EB8EB4B288AFAD70A"
appUrl	"http://isdownload.ishanghd.com/work/app/wj/app/H713/Launcher10_HY300_1.84.apk"
2
appVersionCode	3
appName	"platinum"
appPkgName	"com.allwinnertech.platinum.media"
appMd5	"5DA2127B3D0E983D96C16F5960CFE5E0"
appUrl	"http://isdownload.ishanghd.com/work/app/wj/app/H713/PlatinumMediaDLNA.apk"

各 `infos*.json` は `pm install -r` するアプリ（ペイロード `com.google.adtest` と Disney+ などのカバーアプリ）を列挙しており、3. で扱ったとおりです。

### 9.3 plugin.jar

**C2 ホスト暗号化**
`com.hs.p.basic.Hosts`/`EncryptUtils`
各ホスト文字列は `AES/CFB/NoPadding`（キー `MD5("ota.host.a46780a24111f056d95f955462606901")`、IV `"0102030405060708"`）で、gzip 圧縮後、base64 エンコードされます：

- `API_MASTER_HOSTS`: `https://api.loritor.cc/`
- `TRACKER_SLAVE_HOSTS`: `https://api.loritor.cc/`
- `API_SLAVE_HOSTS`: `https://api.nizero.cc/`
- `TRACKER_MASTER_HOSTS`: `https://api.nizero.cc/`（API チャネルと優先度が入れ替わっている？）

このテスト時点では、loritor.cc と nizero.cc の両方ともダウンしているようでした。

**タスク/設定 API パス**
`GetTaskApi`、`GetConfigApi`
`POST <host>/0x01/ov/x1`（設定：サイレントウィンドウ、ログトグル、ホストリストプッシュ、ポーリング間隔）および `POST <host>/0x01/ov/x2`（タスクリスト：カーソルページネーションされた `jars[]`/`dexs[]`/`apks[]`、それぞれに `file_url`/`file_md5`/`vercode`/`task_id` を含む）。レスポンスボディの `"data"` フィールドも同様に暗号化されており、キーは `"ota.api.d3b194c07b63d688969c258719ca3f0f"` です。

**`.rf` モジュール形式**
有効な DSA 署名を持つ 4 つのモジュールをすべて復号すると：
`[4B version][4096B pad][32B salt][4B+N invocation AES-CFB][4B+N module AES-CFB][4B+N DSA sig]`。

AES キー = `MD5("968a84be78d3421d5e771147dce2b766" + salt)`、IV は上記と同じ固定値です。

DSA 公開鍵はハードコードされており（1024 ビット、`DexManager`/`JarExe` に埋め込み）、平文は生の dex ではなく ZIP/APK です。```
SKN0041: {"cn":"com.hotota.p.d.MainApi","m_init":"start_W0017","m_uninit":"stop"}
SKN0054: {"cn":"com.hotota.p.d.MainApi","m_init":"start_W0028","m_uninit":"stop"}
SKN0058: {"cn":"com.hotota.p.d.MainApi","m_init":"start_W0032","m_uninit":"stop"}
SKN0061: {"cn":"com.hotota.p.d.MainApi","m_init":"start_W0035","m_uninit":"stop"}

### 9.5 com.szns.sdk

`SKN0054`

ここにあるドメイン/IP文字列は難読化されています: `Base64→XOR(fixed key) > XOR(prev result) > MD5-derived XOR > Base64 > gzip` クラス `com.szns.sdk.t` 内。

正確なアルゴリズム（`analysis/tools/decode_szns_t.py`）を再現し、ハードコードされた4つのブートストラップエンドポイントをすべて復号しました:```
ac.a()
  ->  https://hgsdkszns.com
ac.b()
  ->  http://dporder.midrouterx.com/api/dispatch
      (state 1: fetch "domain_info", cached 24h)
ac.c()
  ->  https://seed-info.oss-ap-southeast-1.aliyuncs.com/favorite.ico
      (state 3: OSS bootstrap; body is a plain URL: "http://dporder.midrouterx.com/api/dispatchByOss")
ac.d()
  ->  43.173.127.241:9090
      (state 5: "ip_tcp_info" bootstrap)

デバイスのチェックインは `POST https://codedevapp.com/api/v1/device/dau` を通じて行われます。

2つのサービスが起動されます：

- `com.google.android.AdService`
- `com.google.android.BakService`

存在する場合、オプションの `com.fotas.wanapp.ChannelSdkInit` クラスをリフレクションで探索して初期化します。アプリID文字列：`"wanapp"`、`"WAN_AISHANG_001"`。

### 9.9. ライブステータススナップショット (2026-09-26)

独立したホストからの読み取り専用の到達性チェック（プロキシプロトコル/ペイロードは送信せず、プロジェクター自体との対話もなし）：

| ホスト                                                                                                | DNS / 接続結果                                                         | 備考                                                                         |
| --------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- | ----------------------------------------------------------------------------- |
| `api.loritor.cc`, `api.nizero.cc`                                                                   | 解決成功 (Cloudflare)、`/` で HTTP 404                                       | 稼働中；実際のパスは `/0x01/ov/x1`、`/0x01/ov/x2`                            |
| `api.kookjar.com`                                                                                   | 解決成功 (Cloudflare, 172.67.159.65)、HTTP 204                               | 稼働中                                                                         |
| `152.32.240.141` (SKN0041 デバッグフォールバック)                                                           | TCP/80 タイムアウト                                                               | 到達不可；いずれにせよデバッグ専用パスで、本番は `api.kookjar.com` を使用      |
| `dporder.midrouterx.com`                                                                            | 直接解決 (43.174.196.241, Tencent Cloud)、`/api/dispatch` で HTTP 200 | **稼働中**                                                                     |
| `seed-info.oss-ap-southeast-1.aliyuncs.com`                                                         | 解決成功 (47.79.49.170, Alibaba Cloud SG)、HTTP 200、`favorite.ico` を配信   | **稼働中**                                                                     |
| `hgsdkszns.com`                                                                                     | 解決成功 (Cloudflare)                                                        | DNS は稼働中；プレーン HTTPS プローブはリセット (現在のビルドでは未使用分岐、10.5 参照) |
| `43.173.127.241:9090`                                                                               | **生の TCP 接続が成功**                                                 | **稼働中、現在リッスン中**                                                |
| `api.eviceh.cc:16000`                                                                               | 解決成功 (152.53.83.204)                                                     | DNS は稼働中、チェック時点で TCP/16000 は拒否 (ゲートウェイは現在リッスンしていない)  |
| `dw4y.mmavlino.com` / `zx8c.llvyomi.net` / `zxn5.p2f7mjhv.eu.cc` / `45.43.57.99` / `165.154.135.52` | 今回のチェックでは再確認せず                                                     | セクション11参照                                                                |
| `api.pechlo.cc`, `api.logobi.cc`                                                                    | 解決成功 (Cloudflare)、`/` で HTTP 404                                        | 稼働中                                                                         |
| `random.vivosoc.cc`                                                                                 | **DNS レコードなし**                                                            | 停止/期限切れの模様                                                          |
| `codedevapp.com`                                                                                    | 解決成功 (5.161.41.216, Hetzner)                                              | 稼働中；`/api/v1/device/dau` は POST 専用のため、単純な GET は中断される                 |

## 10. URL

| ホスト / URL                                                                                                                  | コンポーネント                                 | 役割                                                                                                                           |
| --------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------ |
| `ishanghd.com`, `ty.ishanghd.com`, `isdownload.ishanghd.com`, `wjtysj.ishanghd.com`                                         | sysapp, yiyou                             | ルート OEM バックエンドドメイン                                                                                                        |
| `wjtysj.ishanghd.com/hx_kt.php`                                                                                             | sysapp (AshdSysApp)                       | OTA アップデータ C2 (`act=project&do=getPackageInfo`)                                                                               |
| `ty.ishanghd.com/work/app/wj/factory/update.json`                                                                           | yiyou                                     | ドロッパー自己更新ポインタ                                                                                                    |
| `ty.ishanghd.com/work/app/wj/appsinfo/*` (40 パス、上記参照)                                                              | yiyou                                     | デバイスファミリーごとのペイロード/アプリリスト (`pm install -r` ターゲット)                                                                  |
| `isdownload.ishanghd.com/work/app/wj/plugin/infos_9269.json`                                                                | yiyou                                     | `plugin.jar` 取得ポインタ                                                                                                     |
| `isdownload.ishanghd.com/work/app/wj/plugin/plugin/2026082800/plugin.jar`                                                   | yiyou                                     | 実際の `plugin.jar` ペイロード (バージョン付きパス、時間とともに変化)                                                                |
| `isdownload.ishanghd.com/work/app/wj/app/rk3326/L3.zip`                                                                     | plugin.jar                                | Widevine L3 DRM キー/ライセンスバンドル、未認証デバイスでストリーミングアプリを動作させるためにドロップされる                                    |
| `api.loritor.cc`, `api.nizero.cc`                                                                                           | plugin.jar ("hs")                         | タスク/設定 API (`/0x01/ov/x1`, `/0x01/ov/x2`)、API チャネル (マスター/スレーブ) およびトラッカーチャネル (スレーブ/マスター入れ替え) の両方として  |
| `api.kookjar.com` (+ `152.32.240.141` デバッグ)                                                                         | SKN0041                                   | `/signin`, `/report`                                                                                                           |
| `api.eviceh.cc:16000`                                                                                                       | SKN0058                                   | 唯一のゲートウェイ                                                                                                                   |
| `hgsdkszns.com`                                                                                                             | SKN0054                                   | 追加のハードコードされたブートストラップホスト (現在のビルドでは未使用分岐)                                                           |
| `dporder.midrouterx.com/api/dispatch` (+ `/api/dispatchByOss`、下記の OSS ブートストラップ経由で到達)                         | SKN0054                                   | プライマリディスパッチブートストラップ                                                                                                     |
| `seed-info.oss-ap-southeast-1.aliyuncs.com/favorite.ico`                                                                    | SKN0054                                   | OSS ホスト型ブートストラップリダイレクタ (Alibaba Cloud OSS)                                                                            |
| `seed-1303252866.cos.na-siliconvalley.myqcloud.com/favorite.ico`                                                            | SKN0054                                   | 同じブートストラップ設定の Tencent COS バックアップミラー                                                                         |
| `43.173.127.241:9090`                                                                                                       | SKN0054                                   | `ip_tcp_info` ブートストラップホスト (正確なポート確認済み、稼働中)                                                                      |
| `43.135.136.224`                                                                                                            | SKN0054                                   | 稼働中に観測されたディスパッチゲートウェイ (tcp/7788 `/api/dispatch`, tcp/9090)                                                            |
| `43.159.148.198`                                                                                                            | SKN0054                                   | 稼働中に観測されたゲートウェイ/サーバーリストエンドポイント、`/dp/getServer` (おそらく暗号化された `node[]` リスト内で動的に返された) |
| `43.130.60.175`                                                                                                             | SKN0054                                   | 追加のプロキシゲートウェイノード (tcp/9090)、稼働中に観測                                                                        |
| `43.153.12.1`–`43.153.80.100:8080` (UDP)                                                                                    | SKN0054                                   | ディスカバリスイープ；プローブペイロードはリテラル ASCII `moon2`                                                                        |
| `dw4y.mmavlino.com`, `zx8c.llvyomi.net`, `zxn5.p2f7mjhv.eu.cc`, `45.43.57.99`, `165.154.135.52`                             | SKN0061                                   | ゲートウェイプール、カスタム TCP プロキシプロトコル                                                                                        |
| `api.pechlo.cc`, `api.logobi.cc`, `random.vivosoc.cc`                                                                       | com.speed / com.fotas.wanapp              | マスター/スレーブ/ランダム C2                                                                                                         |
| `codedevapp.com/api/v1/device/dau`                                                                                          | com.speed / com.fotas.wanapp              | デバイスチェックイン                                                                                                                |
| `live.sz-cloudmedia.com:8080/ota/`                                                                                          | レガシー OTA (古い/兄弟 sysapp バリアント) | 行き止まり、このドメインには ICP 登録がなく、Alibaba がブロックしている。                                                                     |
| `ulogs.umeng.com`, `ulogs.umengcloud.com`, `alogus.umeng.com`, `alogsus.umeng.com`, `ouplog.umeng.com`, `plbslog.umeng.com` | yiyou (Umeng SDK)                         | サードパーティ分析テレメトリ、yiyou アプリが収集するデバイスフィンガープリント (シリアル、MAC、SSID/BSSID) を伝送                |
| `hmma.baidu.com`, `datax.baidu.com`, `dxp.baidu.com`, `openrcv.baidu.com`                                                   | yiyou (Baidu Mobile Stats SDK)            | 同じテレメトリの役割、Baidu 経由                                                                                                 |
| `cmnsguider.yunos.com`, `ip.taobao.com`, `g3.le.com`                                                                        | yiyou                                     | フィンガープリンティングに使用される Alibaba/Yunos デバイストークンおよびパブリック IP 検索サービス                                               |

## 11. その他

開発者オプション：

1. `Deviceversion.onKeyDown` (設定の「デバイス情報」画面) はコナミスタイルのコード、上上下下左左右右中中を監視し、開発者オプションを開こうとします。私の場合、これは機能しませんでした。
2. 上下左右中は `com.konka.readmain.MainActivity` を起動しようとします。これは無関係な OEM 工場テストアプリで、実際にはこのユニットにインストールされていません。同様に、機能しませんでした。```
adb shell am start -n com.ashd.settings/com.rk_itvui.settings.deviceversion.Deviceversion
adb shell input keyevent 19
adb shell input keyevent 19
adb shell input keyevent 20
adb shell input keyevent 20
adb shell input keyevent 21
adb shell input keyevent 21
adb shell input keyevent 22
adb shell input keyevent 22
adb shell input keyevent 23
adb shell input keyevent 23