Infraestrutura C2 Pré-instalada e Payload RAT em Projetores Android

Relatório de Análise Técnica — Pesquisa de Segurança

---

Dispositivos Afetados: Vários projetores Android de marcas como a Nonete (por exemplo, Modelo HY260Pro) (provavelmente também vários projetores da Magcubic, Hotack, Huyukang e muitas outras, uma vez que estas empresas distribuem modelos semelhantes e existem indícios que o sustentam)
Plataforma do Chipset: Allwinner H713 / sun50iw12p1 — potencialmente afeta todos os dispositivos nesta plataforma
Período de Análise: 11–17 de abril de 2026 e 15-18 de junho de 2026
Classificação: Infraestrutura de Comando e Controle pré-instalada com payload de Trojan de Acesso Remoto

---

TL;DR

• O Problema: Numerosos projetores Android baratos (potencialmente marcas como Magcubic, Hotack, etc., que utilizam o chip Allwinner H713), atualmente vendidos em quantidades massivas na Amazon, eBay e AliExpress, estão infetados com malware diretamente de fábrica (Ataque à Cadeia de Fornecimento, semelhante aos casos "BADBOX").
• O Mecanismo: Uma aplicação de sistema pré-instalada ("StoreOS") atua como dropper de primeira fase. Esta descarrega e instala silenciosamente o "SilentSDK" com privilégios máximos de sistema. O SilentSDK, por sua vez, instala o verdadeiro PluginManager ( com.me.cash5), formando uma cadeia de infeção de quatro fases:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Estrutura de Plugins Multi-Família: O PluginManager contacta api.pixelpioneerss.com e implementa até 5 plugins modulares, cada um com um propósito criminoso distinto e direcionado a regiões geográficas específicas. Isto não é um único malware — é uma plataforma para executar múltiplas famílias de malware em simultâneo num único dispositivo:
  • com.falc.tree.alln — Agente proxy residencial nativo (botnet XFJ/net2fast). Regista o dispositivo como nó de saída, encaminhando o tráfego de clientes pagantes através da ligação à internet da vítima. Servidor dispatcher ativo confirmado em solo alemão (Frankfurt, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Cliente de proxy reverso / botnet a comunicar com a infraestrutura syslogcollector.com via TLS. Os indicadores são consistentes com a botnet Vo1d, uma botnet Android TV de larga escala conhecida, documentada pela primeira vez em 2023.
  • com.amg.mnjk.lilo — Nó proxy baseado em UDP (o.fecebbbk.xyz:16000). Utiliza um protocolo binário para tunelamento de tráfego.
  • com.yj.pickled.radish — SDK de fraude publicitária / fraude de cliques (sda-1.xyz:40003). Direcionado exclusivamente à Indonésia, Rússia, México e Brasil. Recebe comandos de controlo de WebView do C2.
  • com.so.lmax.ccn — SDK de proxy P2P comercial com forte ofuscação em runtime (desencriptação de chave XOR baseada em stack-trace). Endpoints resolvidos dinamicamente.
• Atribuição ao Programador: Símbolos de depuração na biblioteca nativa identificam a máquina Windows do programador (nome de utilizador 39398, projeto CxfjShell, D:\code\Android\CxfjShell). Isto constitui uma impressão digital de atribuição entre amostras.
• O Perigo: O dispositivo está simultaneamente registado em múltiplas botnets (proxy residencial, Vo1d, fraude publicitária), exfiltra identificadores do dispositivo (MAC, serial, Android ID) para a China, e pode executar código arbitrário com privilégios de root a qualquer momento. O dispositivo também vem com backdoors de root abertas (ADB não autenticado na porta 5555, binário su oculto /system/bin/qw). A infraestrutura C2 está totalmente operacional e as regras de geo-direcionamento podem ser alteradas do lado do servidor a qualquer momento para expandir o alcance a qualquer país.
• Mitigação Imediata: Bloquear *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz ao nível da rede. Bloquear por firewall os IPs do dispatcher 79.127.216.89, 107.151.220.86, 207.166.169.133 na porta 12341/TCP. Utilizadores afetados podem desativar as aplicações maliciosas via ADB.

Índice

1. Identificação do Dispositivo
2. Fluxo de Investigação
3. Acesso Root — Caminho de Exploração
4. Resposta do Servidor C2 — Evidência Central
5. Visão Geral do Ecossistema de Malware
6. StoreOS — Análise do Dropper (com.htc.storeos)
7. EventUploadService — Telemetria (com.htc.eventuploadservice)
8. ExpandSDK — Injeção de Anúncios (com.htc.expandsdk)
9. SilentSDK — Análise do Dropper de Estágio 2 (com.hotack.silentsdk)
   • 9.1 O Payload de Malware (com.me.cash5 — Estágio 3)
10. Cadeia de Entrega de Plugins (com.me.cash5)
    • Passo 1: Pedido da Lista de Plugins (api.pixelpioneerss.com)
    • Passo 2: Candidatos de Versão (PluginDeliveryInfo)
    • Passo 3: Informação de Política e Regras de Geo-Fencing
    • Passo 4: Download do Blob Encriptado
    • Passo 5: Desencriptação XOR
    • Análise de Geo-Fencing
    • C2 Secundário (Em Investigação)
11. Os Plugins Finais (Estágio 4)
    • com.yj.pickled.radish_v100 — SDK de Fraude Publicitária
    • com.hhh.lijng.jaaa_v8 — Cliente da Botnet Jaguar
    • com.amg.mnjk.lilo_v10 — Nó Proxy UDP
    • com.so.lmax.ccn_v16 — SDK de Proxy Comercial
    • com.falc.tree.alln_v13 — Agente Proxy Nativo ← Análise Completa
      • Impressão Digital do Programador (utilizador Windows 39398, projeto CxfjShell)
      • libxfjall.so — Comunicação C2 em Três Fases
      • Infraestrutura do Dispatcher (incl. Frankfurt, DE)
      • Mecanismo de Persistência
12. Backdoors do Sistema
13. Forense de Rede
14. Falsificação de Dispositivo (Falsificação de Build-Fingerprint)
15. Confirmação Externa
16. Indicadores de Compromisso (IOCs)
17. Mapeamento MITRE ATT&CK
18. Mitigações Imediatas
19. Fontes

Aviso de Urgência

A infraestrutura de malware documentada neste relatório está pré-instalada em projetores Android atualmente a ser vendidos em grandes quantidades a consumidores finais na Amazon, eBay e AliExpress. Os dispositivos afetados abrangem possivelmente múltiplas marcas (Hotack, Huyukang, Magcubic, Nonete, entre outras). Infraestrutura C2 idêntica foi confirmada independentemente noutros dispositivos do mesmo fabricante (ver Secção 13). O padrão corresponde aos casos BADBOX.

---

---

Dispositivo Adquirido: Link Amazon - Nonete Mini Beamer 4K 1080P

---

1. Identificação do Dispositivo

Propriedade	Valor
Nome da Marca	Nonete HY260Pro (modelo vendido por várias empresas)
Nome do Modelo Interno	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
Sistema Operativo	SpectraOS (Android 11, Kernel 5.4.99)
Build Fingerprint Real	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Build Fingerprint Falsificado	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (sem enforcement)
Chave de Assinatura da Plataforma	Chave de Teste Pública AOSP
Canal de Firmware	HY260Pro_SpectraOS_TPYB

Nota sobre o âmbito: O chipset Allwinner H713 está integrado em numerosos projetores Android baratos vendidos sob nomes de marca em constante mudança no mercado europeu. A base de firmware idêntica (h713_tuna_p3) e o operador C2 idêntico (Shenzhen Aodin Technology) sugerem fortemente que todos os dispositivos deste OEM contêm a mesma infraestrutura.

---