Skip to content
KitploitKITPLOIT
도구익스플로잇블로그
Log in
제출
도구익스플로잇블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

피드문의개인정보© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
Android-Projector-C2-Malware — 중국 beamers의 C2 네트워크 분석 - SilentSDK-Analysis | Kitploit
도구/GitHubGitHub/kavan00/android-projector-c2-malware
Android SecurityEmbedded Systems SecurityIndicator of Compromise (IOC) ManagementIoT SecurityNetwork ForensicsReverse EngineeringMalware AnalysisDigital ForensicsCommand and ControlThreat IntelligenceSupply Chain Security
18210517일 전Kitploit 검토 완료

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유
Firmware Analysis
GitHubkavan00/android-projector-c2-malware

Android-Projector-C2-Malware

중국 beamers의 C2 네트워크 분석 - SilentSDK-Analysis

저장소 보기

Android 프로젝터에 사전 설치된 C2 인프라 및 RAT 페이로드

기술 분석 보고서 — 보안 연구

영향받는 기기: Nonete(예: Model HY260Pro)와 같은 프로젝터 브랜드의 여러 Android 프로젝터 (Magcubic, Hotack, Huyukang 등의 여러 프로젝터에도 영향을 미칠 가능성이 높음. 이들 회사가 유사한 모델을 유통하고 있으며 이를 뒷받침하는 정황이 존재하기 때문)
칩셋 플랫폼: Allwinner H713 / sun50iw12p1 — 이 플랫폼을 사용하는 모든 기기에 영향을 미칠 가능성 있음
분석 기간: 2026년 4월 11–17일 & 2026년 6월 15-18일
분류: 사전 설치된 명령 제어(Command-and-Control) 인프라 및 원격 접근 트로이 목마(Remote Access Trojan) 페이로드

TL;DR

  • 문제점: Amazon, eBay, AliExpress에서 대량으로 판매되고 있는 수많은 저가 Android 프로젝터(Magcubic, Hotack 등 브랜드로, Allwinner H713 칩을 사용하는 제품들)가 공장 출하 시점부터 악성코드에 감염되어 있음 (공급망 공격, "BADBOX" 사례와 유사).
  • 메커니즘: 사전 설치된 시스템 앱("StoreOS")이 1단계 드로퍼(dropper) 역할을 함. 이 앱은 최대 시스템 권한으로 "SilentSDK"를 조용히 다운로드하여 설치함. SilentSDK는 다시 실제 PluginManager(com.me.cash5)를 설치하여 4단계 감염 체인을 형성함:
StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)
  • 멀티 패밀리 플러그인 프레임워크: PluginManager는 api.pixelpioneerss.com에 접속하여 최대 5개의 모듈형 플러그인을 배포하며, 각각은 서로 다른 범죄 목적을 수행하고 특정 지리적 지역을 대상으로 합니다. 이것은 단일 멀웨어가 아니라 단일 기기에서 여러 멀웨어 패밀리를 동시에 실행하기 위한 플랫폼입니다:
    • com.falc.tree.alln — 네이티브 주거용 프록시 에이전트 (XFJ/net2fast 봇넷). 기기를 출구 노드로 등록하여 유료 고객의 트래픽을 피해자의 인터넷 연결을 통해 라우팅합니다. 독일 영토(Frankfurt, AS60068)에서 활성 디스패처 서버가 확인되었습니다.
    • com.hhh.lijng.jaaa (Jaguar) — TLS를 통해 syslogcollector.com 인프라와 통신하는 리버스 프록시 / 봇넷 클라이언트. 지표는 2023년에 처음 문서화된 알려진 대규모 Android TV 봇넷인 Vo1d 봇넷과 일치합니다.
    • com.amg.mnjk.lilo — UDP 기반 프록시 노드 (o.fecebbbk.xyz:16000). 트래픽 터널링을 위해 바이너리 프로토콜을 사용합니다.
    • com.yj.pickled.radish — 광고 사기 / 클릭 사기 SDK (sda-1.xyz:40003). 인도네시아, 러시아, 멕시코, 브라질만을 대상으로 합니다. C2로부터 WebView 제어 명령을 수신합니다.
    • com.so.lmax.ccn — 강력한 런타임 난독화(스택 트레이스 기반 XOR 키 복호화)를 갖춘 상용 P2P 프록시 SDK. 엔드포인트는 동적으로 해석됩니다.
  • 개발자 귀속: 네이티브 라이브러리의 디버그 심볼은 개발자의 Windows 머신(사용자 이름 39398, 프로젝트 CxfjShell, D:\code\Android\CxfjShell)을 식별합니다. 이는 교차 샘플 귀속 지문을 구성합니다.
  • 위험성: 기기는 동시에 여러 봇넷(주거용 프록시, Vo1d, 광고 사기)에 등록되어 있고, 기기 식별자(MAC, 시리얼, Android ID)를 중국으로 유출하며, 언제든지 루트 권한으로 임의 코드를 실행할 수 있습니다. 또한 기기에는 열린 루트 백도어(포트 5555에서 인증되지 않은 ADB, 숨겨진 su 바이너리 /system/bin/qw)가 함께 제공됩니다. C2 인프라는 완전히 작동 중이며 지리적 타겟팅 규칙은 언제든지 서버 측에서 변경되어 모든 국가로 범위를 확장할 수 있습니다.
  • 즉각적 완화: 네트워크 수준에서 *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz를 차단하십시오. 방화벽에서 디스패처 IP 79.127.216.89, 107.151.220.86, 207.166.169.133의 포트 12341/TCP를 차단하십시오. 영향을 받은 사용자는 ADB를 통해 악성 앱을 비활성화할 수 있습니다.

목차

  1. 기기 식별
  2. 조사 워크플로
  3. 루트 접근 — 익스플로잇 경로
  4. C2 서버 응답 — 핵심 증거
  5. 멀웨어 생태계 개요
  6. StoreOS — 드로퍼 분석 (com.htc.storeos)
  7. EventUploadService — 텔레메트리 (com.htc.eventuploadservice)
  8. ExpandSDK — 광고 주입 (com.htc.expandsdk)
  9. SilentSDK — 2단계 드로퍼 분석 (com.hotack.silentsdk)
    • 9.1 멀웨어 페이로드 (com.me.cash5 — 3단계)
  10. 플러그인 전달 체인 (com.me.cash5)
    • 1단계: 플러그인 목록 요청 (api.pixelpioneerss.com)
    • 2단계: 버전 후보 (PluginDeliveryInfo)
    • 3단계: 정책 정보 및 지역 제한 규칙
    • 4단계: 암호화된 블롭 다운로드
    • 5단계: XOR 복호화
    • 지역 제한 분석
    • 보조 C2 (조사 중)
  11. 최종 플러그인 (4단계)
    • com.yj.pickled.radish_v100 — 광고 사기 SDK
    • com.hhh.lijng.jaaa_v8 — Jaguar 봇넷 클라이언트
    • com.amg.mnjk.lilo_v10 — UDP 프록시 노드
    • com.so.lmax.ccn_v16 — 상용 프록시 SDK
    • com.falc.tree.alln_v13 — 네이티브 프록시 에이전트 ← 전체 분석
      • 개발자 지문 (Windows 사용자 39398, 프로젝트 CxfjShell)
      • libxfjall.so — 3단계 C2 통신
      • 디스패처 인프라 (프랑크푸르트, DE 포함)
      • 지속성 메커니즘
  12. 시스템 백도어
  13. 네트워크 포렌식
  14. 기기 스푸핑 (빌드 지문 스푸핑)
  15. 외부 확인
  16. 침해 지표 (IOC)
  17. MITRE ATT&CK 매핑
  18. 즉각적 완화
  19. 출처

긴급 공지

이 보고서에 문서화된 멀웨어 인프라는 현재 Amazon, eBay, AliExpress에서 최종 소비자에게 대량으로 판매되고 있는 Android 프로젝터에 사전 설치되어 있습니다. 영향을 받은 기기는 여러 브랜드 이름(Hotack, Huyukang, Magcubic, Nonete 등)에 걸쳐 있을 가능성이 있습니다. 동일한 C2 인프라가 동일 제조사의 다른 기기에서 독립적으로 확인되었습니다(섹션 13 참조). 이 패턴은 BADBOX 사례와 일치합니다.

구매한 기기: Amazon 링크 - Nonete Mini Beamer 4K 1080P

1. 기기 식별

속성값
브랜드 이름Nonete HY260Pro (여러 회사에서 판매하는 모델)
내부 모델 이름NT10
SoCAllwinner sun50iw12p1 (ARM 32-bit)
운영 체제SpectraOS (Android 11, Kernel 5.4.99)
실제 빌드 지문Allwinner/h713_tuna_p3/h713-tuna_p3:11
스푸핑된 빌드 지문ADT-3/adt3/adt3:11/RP1A.201005.006
SELinuxPermissive (강제 적용 없음)
플랫폼 서명 키공개 AOSP 테스트 키
펌웨어 채널HY260Pro_SpectraOS_TPYB

범위에 대한 참고: Allwinner H713 칩셋은 유럽 시장에서 변화하는 브랜드 이름으로 판매되는 수많은 저가 Android 프로젝터에 내장되어 있습니다. 동일한 펌웨어 기반(h713_tuna_p3)과 동일한 C2 운영자(Shenzhen Aodin Technology)는 이 OEM의 모든 기기가 동일한 인프라를 포함하고 있음을 강하게 시사합니다.

2. 조사 워크플로

도구 다운로드