Android 投影仪上预装的 C2 基础设施与 RAT 载荷

技术分析报告 — 安全研究

---

受影响设备： 多个投影仪品牌的 Android 投影仪，如 Nonete（例如型号 HY260Pro）（可能还包括 Magcubic、Hotack、Huyukang 等品牌的若干投影仪，因为这些公司分销类似型号，且有迹象支持这一点）
芯片平台： Allwinner H713 / sun50iw12p1 — 可能影响该平台上的所有设备
分析周期： 2026 年 4 月 11 日至 17 日及 2026 年 6 月 15 日至 18 日
分类： 预装命令与控制基础设施，附带远程访问木马载荷

---

简要概述

• 问题所在： 大量廉价 Android 投影仪（可能包括 Magcubic、Hotack 等品牌，采用 Allwinner H713 芯片），目前在 Amazon、eBay 和 AliExpress 上大量销售，出厂即感染恶意软件（供应链攻击，类似于“BADBOX”案例）。
• 攻击机制： 一个预装的系统应用（“StoreOS”）充当第一阶段投放器。它静默下载并安装具有最高系统权限的“SilentSDK”。SilentSDK 随后安装实际的 PluginManager（com.me.cash5），形成四阶段感染链：

StoreOS (Stage 1) → SilentSDK (Stage 2) → PluginManager com.me.cash5 (Stage 3) → Final Plugins (Stage 4)

• 多家族插件框架： PluginManager 会连接 api.pixelpioneerss.com 并部署最多 5 个模块化插件，每个插件服务于不同的犯罪目的，并针对特定地理区域。这不是单一恶意软件——而是一个可在单台设备上同时运行多个恶意软件家族的平台：
  • com.falc.tree.alln — 原生住宅代理代理程序（XFJ/net2fast 僵尸网络）。将设备注册为出口节点，将付费客户的流量通过受害者的互联网连接进行路由。已在德国境内（法兰克福，AS60068）确认活跃的调度服务器。
  • com.hhh.lijng.jaaa（Jaguar） — 反向代理/僵尸网络客户端，通过 TLS 与 syslogcollector.com 基础设施通信。相关指标与 Vo1d 僵尸网络一致，后者是已知的大规模 Android TV 僵尸网络，最早于 2023 年被记录。
  • com.amg.mnjk.lilo — 基于 UDP 的代理节点（o.fecebbbk.xyz:16000）。使用二进制协议进行流量隧道传输。
  • com.yj.pickled.radish — 广告欺诈/点击欺诈 SDK（sda-1.xyz:40003）。专门针对印度尼西亚、俄罗斯、墨西哥和巴西。从 C2 接收 WebView 控制命令。
  • com.so.lmax.ccn — 商业 P2P 代理 SDK，具有大量运行时混淆（基于堆栈跟踪的 XOR 密钥解密）。端点动态解析。
• 开发者归属： 原生库中的调试符号识别出了开发者的 Windows 机器（用户名 39398，项目 CxfjShell，D:\code\Android\CxfjShell）。这构成了跨样本归属指纹。
• 危险： 该设备同时被注册到多个僵尸网络中（住宅代理、Vo1d、广告欺诈），将设备标识符（MAC、序列号、Android ID）外泄至中国，并且可以随时以 root 权限执行任意代码。该设备还预置了开放的 root 后门（端口 5555 上未经身份验证的 ADB，隐藏的 su 二进制文件 /system/bin/qw）。C2 基础设施完全可运行，并且地理定位规则可在服务器端随时更改，以将覆盖范围扩展到任何国家。
• 立即缓解措施： 在网络层面阻止 *.aodintech.com、api.pixelpioneerss.com、sta.smartinnovate.net、balancer.api.net2fast.com、*.syslogcollector.com、o.fecebbbk.xyz、www.sda-1.xyz。在端口 12341/TCP 上对调度器 IP 79.127.216.89、107.151.220.86、207.166.169.133 进行防火墙拦截。受影响的用户可以通过 ADB 禁用恶意应用。

目录

1. 设备识别
2. 调查工作流
3. Root 访问 — 漏洞利用路径
4. C2 服务器响应 — 核心证据
5. 恶意软件生态系统概览
6. StoreOS — Dropper 分析（com.htc.storeos）
7. EventUploadService — 遥测（com.htc.eventuploadservice）
8. ExpandSDK — 广告注入（com.htc.expandsdk）
9. SilentSDK — 第二阶段 Dropper 分析（com.hotack.silentsdk）
   • 9.1 恶意软件载荷（com.me.cash5 — 第三阶段）
10. 插件投递链（com.me.cash5）
    • 步骤 1：插件列表请求（api.pixelpioneerss.com）
    • 步骤 2：版本候选（PluginDeliveryInfo）
    • 步骤 3：策略信息与地理围栏规则
    • 步骤 4：加密 Blob 下载
    • 步骤 5：XOR 解密
    • 地理围栏分析
    • 次级 C2（调查中）
11. 最终插件（第四阶段）
    • com.yj.pickled.radish_v100 — 广告欺诈 SDK
    • com.hhh.lijng.jaaa_v8 — Jaguar 僵尸网络客户端
    • com.amg.mnjk.lilo_v10 — UDP 代理节点
    • com.so.lmax.ccn_v16 — 商业代理 SDK
    • com.falc.tree.alln_v13 — 原生代理代理程序 ← 完整分析
      • 开发者指纹（Windows 用户 39398，项目 CxfjShell）
      • libxfjall.so — 三阶段 C2 通信
      • 调度器基础设施（包括德国法兰克福）
      • 持久化机制
12. 系统后门
13. 网络取证
14. 设备欺骗（构建指纹欺骗）
15. 外部确认
16. 入侵指标（IOC）
17. MITRE ATT&CK 映射
18. 立即缓解措施
19. 来源

紧急通知

本报告记录的恶意软件基础设施已预装在目前正在 Amazon、eBay 和 AliExpress 上大量向终端消费者销售的 Android 投影仪中。受影响的设备可能涵盖多个品牌名称（Hotack、Huyukang、Magcubic、Nonete 等）。相同的 C2 基础设施已在同一制造商的其他设备上被独立确认（见第 13 节）。 该模式与 BADBOX 案例相符。

---

---

已购买设备： Amazon 链接 - Nonete Mini Beamer 4K 1080P

---

1. 设备识别

属性	值
品牌名称	Nonete HY260Pro（由多家公司销售的型号）
内部型号名称	NT10
SoC	Allwinner sun50iw12p1（ARM 32 位）
操作系统	SpectraOS（Android 11，内核 5.4.99）
真实构建指纹	Allwinner/h713_tuna_p3/h713-tuna_p3:11
伪造构建指纹	ADT-3/adt3/adt3:11/RP1A.201005.006
SELinux	Permissive（无强制执行）
平台签名密钥	公开 AOSP 测试密钥
固件通道	HY260Pro_SpectraOS_TPYB

关于范围的说明： Allwinner H713 芯片组被内置到众多在欧洲市场以不断变化的品牌名称销售的廉价 Android 投影仪中。相同的固件基础（h713_tuna_p3）和相同的 C2 运营者（Shenzhen Aodin Technology）强烈表明，该 OEM 的所有设备都包含相同的基础设施。

---

2. 调查工作流

步骤	操作	结果
1	使用 Wireshark 捕获网络流量	发往 store-api.aodintech.com 的 HTTP 流量
2	解码 gzip 压缩的 C2 响应	7 个应用，包括隐藏的 "SilentTools"
3	对下载路径进行 AES-CBC 解密	密钥 [REDACTED]，指向 .bpp 文件的 URL
4	通过 /oem/customer.prop 进行 Root 漏洞利用	属性注入后 uid=0(root)
5	对 /data、/oem、/system 进行取证转储	APK、数据库、配置
6	对 StoreOS DEX 进行静态分析	pm install -r -d，字节反转保护
7	逆向工程 reverseLen 机制	理解反分析保护
8	破解字节反转保护	解密后可分析的 SilentSDK DEX
9	对 SilentSDK 字符串进行 XOR 解密	确认 C2 域名 api.pixelpioneerss.com
10	跨三个来源进行哈希验证	MD5/SHA-256 完全匹配
11	逆向工程恶意软件下载过程	服务器仍在线
12	逆向工程恶意软件	识别出基于插件的 RAT 框架（com.me.cash5）
13	重建 cash5 AES-CBC 加密器（3 个变体）	信封格式已解码；所有 API 响应均可解密
14	与 api.pixelpioneerss.com 进行实时 C2 交互	插件列表：确认 5 个包处于活跃状态
15	对 sta.smartinnovate.net 进行多级爬取（第 1–3 级）	完整投递链已映射：PluginDeliveryInfo → PolicyInfo → Blob URL
16	对所有 5 个 PolicyInfo 响应进行地理围栏分析	确认中国黑名单（4/5 插件）；ID/RU/MX/BR 白名单（1 个插件）
17	下载并 XOR 解码插件 blob	已识别 MD5 失败的根本原因：基于块的密钥重置（4096 字节缓冲区）
18	对 libxfjall.so（arm64-v8a）进行 Ghidra 反编译	完整原生代理代理程序已逆向：三阶段 C2 协议、二进制握手结构
19	从两个 ABI 变体中提取 strings	已恢复开发者指纹：Windows 用户 39398，项目 CxfjShell，NDK r21e，CMake 哈希 2x4p3s50
20	与 balancer.api.net2fast.com 进行实时 C2 交互	返回 3 个活跃调度器 IP，包括德国法兰克福（79.127.216.89）
21	对所有 3 个调度器 IP 进行端口扫描	三个节点上的端口 12341/TCP 均开放并确认可访问
22	对所有 C2 IP 进行 ASN / 托管查询

---

3. Root 访问 — 漏洞利用路径

Root 访问是通过三个漏洞的组合实现的：

1. SELinux Permissive — 访问违规仅被记录，而不会被阻止。
2. 全局可写的 /oem — 该分区以 FAT 格式挂载，带有 fmask=0000。
3. 启动时加载 customer.prop — 覆盖系统属性。

adb shell getenforce                  # Result: Permissive
adb shell ls -la /oem/                # All files world-writable