O trojan de acesso remoto YuanKong, para Android, tem um dropper pouco protegido que revela mais do que sua carga oculta: ele expõe os identificadores das contas dos operadores embutidos em cada compilação.
A análise de 110 droppers encontrou 57 cargas secundárias distintas, 42 contas de operadores e 44 marcas de compilação que mudam com frequência. Todas estão ligadas por um mesmo certificado de assinatura e pela mesma infraestrutura de comando e controle (C2, o servidor que envia instruções ao malware).
A rotina “SVLT-XOR-v2” usa uma operação XOR simples com duas chaves (XOR é uma operação lógica de “ou exclusivo” usada para embaralhar dados). Isso permite que os analistas recuperem estaticamente o pacote de aplicativo Android (APK) da carga secundária, sem executar o malware nem entrar em contato com seus servidores.
O aplicativo extraído se identifica como YuanKong e é assinado com um certificado compartilhado pelas 57 cargas. Isso o torna uma referência útil para detecção no nível da família de malware, mesmo quando os nomes de pacote e a identidade visual mudam.
A exposição mais incomum está na própria configuração do aplicativo. Cada compilação contém como constantes de texto o identificador da conta do operador, o nome da conta e o código de inscrição.
O YuanKong inclui esses campos na telemetria enviada ao seu C2 sempre que o aplicativo em primeiro plano muda. Na prática, uma amostra pode revelar não apenas suas capacidades, mas também a conta associada à sua compilação.
Os pesquisadores usaram esse padrão para identificar 42 contas distintas em sua coleção.
A vigilância do YuanKong depende menos das permissões tradicionais de dados do que do controle da interface do usuário. A versão analisada não tem permissões de acesso a SMS, contatos, registros de chamadas, câmera ou microfone.
Em vez disso, ele abusa dos serviços de Acessibilidade do Android para inspecionar o conteúdo da interface, capturar alterações de texto, incluindo a atividade em campos de senha, e realizar remotamente toques, deslizamentos, digitação e navegação.
Ele também pode transmitir a tela, ler notificações e o conteúdo da área de transferência, coletar arquivos e dados de localização e exibir sobreposições fornecidas pelos invasores sobre aplicativos selecionados, para capturar dados de pagamento.
Segundo pesquisadores da Starlabs, o carregador armazena sua chave de descriptografia e seu vetor de inicialização em texto simples no arquivo assets/vault-config.json, ao lado da carga criptografada.
O malware também associa toques a posições de um teclado numérico. Ao combinar as coordenadas dos toques com os layouts de teclado detectados, ele consegue deduzir a digitação de PIN (número de identificação pessoal) sem ler diretamente os dígitos no aplicativo.
Trojan de acesso remoto ao Android
Uma sobreposição de tela preta pode ocultar parte da atividade remota do usuário. Essas técnicas podem expor credenciais e permitir ações fraudulentas em sessões bancárias ou de pagamento, embora a análise não determine quantos dispositivos foram infectados.
O C2 não é um único servidor fixo embutido no código. Três domínios de C2 são definidos em k4.u3, dois dos quais também têm um alias www.
A escalada de privilégios local do YuanKong explora a Depuração sem Fio, e não uma vulnerabilidade de software. Depois de obter acesso de Acessibilidade, ele pode ativar a depuração, ler os detalhes de pareamento na interface do sistema e parear com o serviço Android Debug Bridge (ADB, ou Ponte de Depuração do Android) do próprio dispositivo.
Isso lhe dá acesso em nível de shell, e não acesso root, que ele usa para conceder permissões adicionais e fortalecer sua persistência. A distinção é importante: o acesso shell amplia o controle, mas não equivale a acesso root irrestrito.
O canal de C2 usa conexões WebSocket persistentes do Socket.IO/Engine.IO e mensagens JSON tipadas (JSON é um formato de troca de dados). O código analisado não mostrou criptografia separada na camada de aplicação; a confidencialidade depende do TLS (Segurança da Camada de Transporte).
Os pesquisadores identificaram um conjunto compartilhado de hosts, incluindo apppanda[.]xyz, ktxapp[.]com, ktx123[.]net e 206.82.1.14.
Eles alertam que as strings com nomes de pacote encontradas na configuração servem como material-base para gerar identidades de dispositivo, e não como indicadores de C2 ou alvos confirmados.
As descobertas acompanham uma tendência mais ampla de ameaças ao Android: o RatHat, documentado pela Zimperium em setembro de 2026, também combina abuso da Acessibilidade com pareamento ADB local, mas usa uma arquitetura diferente e captura eventos brutos de toque por meio do getevent.
A STAR Labs afirma que o YuanKong, em vez disso, depende da Acessibilidade e de dados de toque no nível de janela. A comparação é útil, mas não é prova de um operador ou de uma base de código em comum.
Para os defensores, a prioridade deve ser o certificado compartilhado do YuanKong e os indicadores de C2 confirmados, e não a troca de nomes de aplicativos. Investigue serviços de Acessibilidade desconhecidos, atividade inesperada de Depuração sem Fio e aplicativos que solicitam controle amplo sem necessidade clara.
Os usuários devem evitar instalar APKs recebidos de links não solicitados e revisar quais aplicativos têm acesso de Acessibilidade.
Não bloqueie nomes de pacote que imitam outros apenas porque aparecem na configuração do YuanKong: os pesquisadores alertam especificamente que essas strings não são indicadores confiáveis.
Indicadores de comprometimento
Nota: endereços IP e domínios estão intencionalmente desfigurados (ex.: [.]) para evitar resolução ou links acidentais. Restaure o formato original apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu sistema de gerenciamento de eventos de segurança (SIEM).
