Skip to content
KitploitKITPLOIT
ツールエクスプロイトブログ
Log in
提出
ツールエクスプロイトブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

フィードお問い合わせプライバシー© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
Android-Projector-C2-Malware — 中国のビーマーによるC2ネットワークの分析 - SilentSDK-Analysis | Kitploit
ツール/GitHubGitHub/kavan00/android-projector-c2-malware
Androidセキュリティ組み込みシステムセキュリティ侵害指標 (IOC) 管理IoTセキュリティネットワークフォレンジックリバースエンジニアリングマルウェア分析デジタルフォレンジックコマンド＆コントロール脅威インテリジェンスサプライチェーンセキュリティファームウェア解析
18210517日前Kitploit レビュー済み

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有
GitHubkavan00/android-projector-c2-malware

Android-Projector-C2-Malware

中国のビーマーによるC2ネットワークの分析 - SilentSDK-Analysis

リポジトリを見る

AndroidプロジェクターにプリインストールされたC2インフラストラクチャとRATペイロード

技術分析レポート — セキュリティリサーチ

影響を受けるデバイス: Nonete（例：Model HY260Pro）などプロジェクターブランドの複数のAndroidプロジェクター（Magcubic、Hotack、Huyukangなど、これらの企業が類似モデルを流通させており、それを裏付ける兆候があるため、おそらく同社の複数のプロジェクターも該当）
チップセットプラットフォーム: Allwinner H713 / sun50iw12p1 — このプラットフォーム上のすべてのデバイスに影響する可能性あり
分析期間: 2026年4月11日～17日 & 2026年6月15日～18日
分類: プリインストールされたCommand-and-ControlインフラストラクチャとRemote Access Trojanペイロード

TL;DR

  • 問題点: 現在Amazon、eBay、AliExpressで大量に販売されている多数の安価なAndroidプロジェクター（Magcubic、Hotackなどのブランドが該当する可能性があり、Allwinner H713チップを搭載）が、工場出荷時点でマルウェアに感染している（サプライチェーン攻撃、「BADBOX」事例と類似）。
  • メカニズム: プリインストールされたシステムアプリ（「StoreOS」）が第一段階のドロッパーとして機能する。これが最大のシステム権限で「SilentSDK」をサイレントにダウンロードしてインストールする。SilentSDKは次に実際のPluginManager（com.me.cash5）をインストールし、4段階の感染チェーンを形成する：
StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)
  • マルチファミリープラグインフレームワーク: PluginManager は api.pixelpioneerss.com に接続し、最大 5 つのモジュール式 プラグインを展開します。各プラグインは異なる犯罪目的を持ち、特定の地理的地域を標的にしています。これは単一の マルウェアではなく、単一デバイス上で複数のマルウェアファミリーを同時に実行するためのプラットフォームです:
    • com.falc.tree.alln — ネイティブレジデンシャルプロキシエージェント (XFJ/net2fast ボットネット)。デバイスを 出口ノードとして登録し、有料顧客のトラフィックを被害者のインターネット接続経由でルーティングします。アクティブな ディスパッチャサーバーがドイツ国内 (フランクフルト、AS60068) で確認されています。
    • com.hhh.lijng.jaaa (Jaguar) — TLS 経由で syslogcollector.com インフラストラクチャと通信するリバース プロキシ / ボットネットクライアント。インジケーターは、2023 年に初めて文書化された既知の大規模 Android TV ボットネットである Vo1d ボットネットと一致しています。
    • com.amg.mnjk.lilo — UDP ベースのプロキシノード (o.fecebbbk.xyz:16000)。トラフィックトンネリングに バイナリプロトコルを使用します。
    • com.yj.pickled.radish — 広告詐欺 / クリック詐欺 SDK (sda-1.xyz:40003)。インドネシア、ロシア、 メキシコ、ブラジルのみを標的にしています。C2 から WebView 制御コマンドを受信します。
    • com.so.lmax.ccn — 強力な実行時難読化 (スタックトレースベースの XOR キー復号) を備えた商用 P2P プロキシ SDK。エンドポイントは動的に解決されます。
  • 開発者の帰属: ネイティブライブラリ内のデバッグシンボルにより、開発者の Windows マシン (ユーザー名 39398、プロジェクト CxfjShell、D:\code\Android\CxfjShell) が特定されます。これはクロスサンプルの帰属 フィンガープリントを構成します。
  • 危険性: デバイスは同時に複数のボットネット (レジデンシャルプロキシ、Vo1d、広告詐欺) に登録され、デバイス 識別子 (MAC、シリアル、Android ID) を中国に流出させ、いつでも root 権限で任意のコードを実行できます。 デバイスにはオープンな root バックドア (ポート 5555 で認証なしの ADB、隠し su バイナリ /system/bin/qw) も 同梱されています。C2 インフラストラクチャは完全に稼働しており、地理的ターゲティングルールはサーバー側でいつでも 変更して任意の国に到達範囲を拡大できます。
  • 即時の緩和策: ネットワークレベルで *.aodintech.com、api.pixelpioneerss.com、sta.smartinnovate.net、 balancer.api.net2fast.com、*.syslogcollector.com、o.fecebbbk.xyz、www.sda-1.xyz をブロックしてください。 ディスパッチャ IP 79.127.216.89、107.151.220.86、207.166.169.133 のポート 12341/TCP をファイアウォールで 遮断してください。影響を受けたユーザーは ADB 経由で悪意のあるアプリを無効化できます。

目次

  1. デバイス識別
  2. 調査ワークフロー
  3. Root アクセス — エクスプロイトパス
  4. C2 サーバー応答 — 中核的証拠
  5. マルウェアエコシステムの概要
  6. StoreOS — ドロッパー分析 (com.htc.storeos)
  7. EventUploadService — テレメトリ (com.htc.eventuploadservice)
  8. ExpandSDK — 広告注入 (com.htc.expandsdk)
  9. SilentSDK — ステージ 2 ドロッパー分析 (com.hotack.silentsdk)
    • 9.1 マルウェアペイロード (com.me.cash5 — ステージ 3)
  10. プラグイン配信チェーン (com.me.cash5)
    • ステップ 1: プラグインリスト要求 (api.pixelpioneerss.com)
    • ステップ 2: バージョン候補 (PluginDeliveryInfo)
    • ステップ 3: ポリシー情報とジオフェンシングルール
    • ステップ 4: 暗号化 BLOB のダウンロード
    • ステップ 5: XOR 復号
    • ジオフェンシング分析
    • セカンダリ C2 (調査中)
  11. 最終プラグイン (ステージ 4)
    • com.yj.pickled.radish_v100 — 広告詐欺 SDK
    • com.hhh.lijng.jaaa_v8 — Jaguar ボットネットクライアント
    • com.amg.mnjk.lilo_v10 — UDP プロキシノード
    • com.so.lmax.ccn_v16 — 商用プロキシ SDK
    • com.falc.tree.alln_v13 — ネイティブプロキシエージェント ← 完全分析
      • 開発者フィンガープリント (Windows ユーザー 39398、プロジェクト CxfjShell)
      • libxfjall.so — 3 フェーズ C2 通信
      • ディスパッチャインフラストラクチャ (フランクフルト、DE を含む)
      • 永続化メカニズム
  12. システムバックドア
  13. ネットワークフォレンジック
  14. デバイススプーフィング (ビルドフィンガープリントスプーフィング)
  15. 外部確認
  16. 侵害指標 (IOC)
  17. MITRE ATT&CK マッピング
  18. 即時の緩和策
  19. 情報源

緊急通知

このレポートで文書化されているマルウェアインフラストラクチャは、現在 Amazon、eBay、AliExpress で大量にエンド ユーザーに販売されている Android プロジェクターにプリインストールされています。影響を受けるデバイスは、おそらく 複数のブランド名 (Hotack、Huyukang、Magcubic、Nonete など) にまたがっています。同一の C2 インフラストラクチャは、 同じメーカーの他のデバイスでも独立して確認されています (セクション 13 参照)。 このパターンは BADBOX の事例と一致しています。

購入したデバイス: Amazon リンク - Nonete Mini Beamer 4K 1080P

1. デバイス識別

プロパティ値
ブランド名Nonete HY260Pro (複数企業が販売するモデル)
内部モデル名NT10
SoCAllwinner sun50iw12p1 (ARM 32-bit)
オペレーティングシステムSpectraOS (Android 11、Kernel 5.4.99)
実際のビルドフィンガープリントAllwinner/h713_tuna_p3/h713-tuna_p3:11
スプーフィングされたビルドフィンガープリントADT-3/adt3/adt3:11/RP1A.201005.006
SELinuxPermissive (強制なし)
プラットフォーム署名キー公開 AOSP テストキー
ファームウェアチャネルHY260Pro_SpectraOS_TPYB

範囲に関する注記: Allwinner H713 チップセットは、欧州市場で次々と変わるブランド名で販売されている多数の安価な Android プロジェクターに組み込まれています。同一のファームウェアベース (h713_tuna_p3) と同一の C2 オペレーター (深圳 Aodin Technology) は、この OEM のすべてのデバイスが同じインフラストラクチャを含んでいることを強く示唆して います。

2. 調査ワークフロー

ツールをダウンロード