Предустановленная инфраструктура C2 и полезная нагрузка RAT на Android-проекторах

Отчёт о техническом анализе — Исследование безопасности

---

Затронутые устройства: Несколько Android-проекторов таких брендов, как Nonete (например, модель HY260Pro) (вероятно, также ряд проекторов от Magcubic, Hotack, Huyukang и многих других, поскольку эти компании распространяют похожие модели и имеются подтверждающие это признаки)
Платформа чипсета: Allwinner H713 / sun50iw12p1 — потенциально затрагивает все устройства на этой платформе
Период анализа: 11–17 апреля 2026 г. и 15–18 июня 2026 г.
Классификация: Предустановленная инфраструктура командования и управления с полезной нагрузкой Remote Access Trojan

---

TL;DR

• Проблема: Множество дешёвых Android-проекторов (потенциально брендов Magcubic, Hotack и др., использующих чип Allwinner H713), продающихся в огромных количествах на Amazon, eBay и AliExpress, заражены вредоносным ПО прямо с завода (атака на цепочку поставок, аналогично случаям «BADBOX»).
• Механизм: Предустановленное системное приложение («StoreOS») действует как дроппер первой стадии. Оно скрытно загружает и устанавливает «SilentSDK» с максимальными системными привилегиями. SilentSDK, в свою очередь, устанавливает фактический PluginManager ( com.me.cash5), образуя четырёхстадийную цепочку заражения:

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• Фреймворк с несколькими семействами плагинов: PluginManager связывается с api.pixelpioneerss.com и развёртывает до 5 модульных плагинов, каждый из которых служит отдельной преступной цели и нацелен на определённые географические регионы. Это не единичное вредоносное ПО — это платформа для запуска нескольких одновременных семейств вредоносного ПО на одном устройстве:
  • com.falc.tree.alln — Нативный агент резидентного прокси (ботнет XFJ/net2fast). Регистрирует устройство как выходной узел, маршрутизируя трафик платящих клиентов через интернет-соединение жертвы. Активный диспетчерский сервер подтверждён на территории Германии (Франкфурт, AS60068).
  • com.hhh.lijng.jaaa (Jaguar) — Обратный прокси / клиент ботнета, связывающийся с инфраструктурой syslogcollector.com по TLS. Индикаторы соответствуют ботнету Vo1d, известному крупномасштабному ботнету Android TV, впервые задокументированному в 2023 году.
  • com.amg.mnjk.lilo — Прокси-узел на основе UDP (o.fecebbbk.xyz:16000). Использует бинарный протокол для туннелирования трафика.
  • com.yj.pickled.radish — SDK для рекламного мошенничества / клик-фрода (sda-1.xyz:40003). Нацелен исключительно на Индонезию, Россию, Мексику и Бразилию. Получает команды управления WebView от C2.
  • com.so.lmax.ccn — Коммерческий P2P-прокси SDK с усиленной обфускацией во время выполнения (XOR-дешифрование ключа на основе трассировки стека). Конечные точки разрешаются динамически.
• Атрибуция разработчика: Отладочные символы в нативной библиотеке идентифицируют Windows-машину разработчика (имя пользователя 39398, проект CxfjShell, D:\code\Android\CxfjShell). Это представляет собой межсэмпловый атрибуционный отпечаток.
• Опасность: Устройство одновременно зарегистрировано в нескольких ботнетах (резидентный прокси, Vo1d, рекламное мошенничество), эксфильтрует идентификаторы устройства (MAC, серийный номер, Android ID) в Китай и может выполнять произвольный код с root- привилегиями в любое время. Устройство также поставляется с открытыми root-бэкдорами (неаутентифицированный ADB на порту 5555, скрытый бинарник su /system/bin/qw). Инфраструктура C2 полностью работоспособна, а правила геотаргетинга могут быть изменены на стороне сервера в любое время для расширения охвата на любую страну.
• Немедленные меры противодействия: Блокируйте *.aodintech.com, api.pixelpioneerss.com, sta.smartinnovate.net, balancer.api.net2fast.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz на сетевом уровне. Заблокируйте на межсетевом экране IP-адреса диспетчеров 79.127.216.89, 107.151.220.86, 207.166.169.133 на порту 12341/TCP. Пострадавшие пользователи могут отключить вредоносные приложения через ADB.

Содержание

1. Идентификация устройства
2. Процесс расследования
3. Root-доступ — путь эксплуатации
4. Ответ C2-сервера — ключевые доказательства
5. Обзор экосистемы вредоносного ПО
6. StoreOS — анализ дроппера (com.htc.storeos)
7. EventUploadService — телеметрия (com.htc.eventuploadservice)
8. ExpandSDK — инъекция рекламы (com.htc.expandsdk)
9. SilentSDK — анализ дроппера второй стадии (com.hotack.silentsdk)
   • 9.1 Полезная нагрузка вредоносного ПО (com.me.cash5 — стадия 3)
10. Цепочка доставки плагинов (com.me.cash5)
    • Шаг 1: Запрос списка плагинов (api.pixelpioneerss.com)
    • Шаг 2: Кандидаты версий (PluginDeliveryInfo)
    • Шаг 3: Информация о политике и правила геоограничения
    • Шаг 4: Загрузка зашифрованного блоба
    • Шаг 5: XOR-дешифрование
    • Анализ геоограничения
    • Вторичный C2 (в процессе исследования)
11. Финальные плагины (стадия 4)
    • com.yj.pickled.radish_v100 — SDK для рекламного мошенничества
    • com.hhh.lijng.jaaa_v8 — клиент ботнета Jaguar
    • com.amg.mnjk.lilo_v10 — прокси-узел UDP
    • com.so.lmax.ccn_v16 — коммерческий прокси SDK
    • com.falc.tree.alln_v13 — нативный прокси-агент ← Полный анализ
      • Отпечаток разработчика (Windows-пользователь 39398, проект CxfjShell)
      • libxfjall.so — трёхфазная C2-коммуникация
      • Инфраструктура диспетчеров (вкл. Франкфурт, DE)
      • Механизм персистентности
12. Системные бэкдоры
13. Сетевая криминалистика
14. Подмена устройства (подмена отпечатка сборки)
15. Внешнее подтверждение
16. Индикаторы компрометации (IOC)
17. Сопоставление с MITRE ATT&CK
18. Немедленные меры противодействия
19. Источники

Уведомление о срочности

Инфраструктура вредоносного ПО, задокументированная в этом отчёте, предустановлена на Android-проекторах, которые в настоящее время продаются в больших количествах конечным потребителям на Amazon, eBay и AliExpress. Затронутые устройства охватывают, возможно, несколько брендов (Hotack, Huyukang, Magcubic, Nonete и другие). Идентичная инфраструктура C2 была независимо подтверждена на других устройствах того же производителя (см. раздел 13). Схема соответствует случаям BADBOX.

---

---

Приобретённое устройство: Ссылка на Amazon - Nonete Mini Beamer 4K 1080P

---

1. Идентификация устройства

Свойство	Значение
Название бренда	Nonete HY260Pro (модель продаётся несколькими компаниями)
Внутреннее имя модели	NT10
SoC	Allwinner sun50iw12p1 (ARM 32-bit)
Операционная система	SpectraOS (Android 11, ядро 5.4.99)
Реальный отпечаток сборки	Allwinner/h713_tuna_p3/h713-tuna_p3:11
Подменённый отпечаток сборки	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive (без принуждения)
Ключ подписи платформы	Публичный тестовый ключ AOSP
Канал прошивки	HY260Pro_SpectraOS_TPYB

Примечание об охвате: Чипсет Allwinner H713 встроен в многочисленные дешёвые Android-проекторы, продаваемые под меняющимися брендами на европейском рынке. Идентичная база прошивки (h713_tuna_p3) и идентичный оператор C2 (Shenzhen Aodin Technology) настоятельно указывают на то, что все устройства этого OEM содержат одну и ту же инфраструктуру.

---

2. Процесс расследования